Ruby Rack < 2.2.19 / 3.1.x < 3.1.17 / 3.2.x < 3.2.2 多個弱點

high Nessus Plugin ID 269982

語言:

概要

遠端主機上安裝的 Ruby 程式庫受到多個弱點影響。

說明

遠端主機上安裝的 Rack Ruby 程式庫版本為 2.2.19之前的 [] 、 3.1.x 之前的 3.1.17或 3.2.x 之前的 3.2.2版。因此，會受到多個弱點影響：

- Rack::Multipart::Parser 在記憶體中緩衝整個多部分前導碼 (第一個邊界之前的位元組)而沒有任何大小限制。用戶端可傳送隨後加上有效邊界的大型前導碼造成使用大量記憶體並可能因記憶體不足 (OOM) 的情況而終止處理程序。
(CVE-2025-61770)

- Rack::Multipart::Parser 將非檔案表單欄位 (無檔案名稱的部分) 做為 Ruby 字串物件完全儲存在記憶體中。multipart/form-data 要求 (數百 MB 或更多) 中的單一大型文字欄位可消耗同等的處理程序記憶體進而可能導致記憶體不足 (OOM) 情形及拒絕服務 (DoS)。 (CVE-2025-61771)

- 當多重部分的標頭區塊從未以必要的空白行 (CRLFCRLF) 終止時Rack::Multipart::Parser 會累積未系結的資料。剖析器持續將傳入的位元組附加至沒有大小上限的記憶體其允許遠端攻擊者耗盡記憶體並造成拒絕服務 (DoS)。
(CVE-2025-61772)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。