Ruby Rack < 2.2.23 / 3.0.x < 3.1.21 / 3.2 < 3.2.6 多個弱點
high Nessus Plugin ID 305959
語言:
概要
遠端主機安裝的應用程式受到多個弱點影響。說明
遠端主機上安裝的 Rack Ruby 程式庫版本為 2.2.23之前的版本、 3.1.21之前的 版或 3.2.6之前的 版。因此，會受到多個弱點影響：
- Rack::Utils.get_byte_ranges 剖析 HTTP 範圍標頭時未限制個別位元組範圍的數目進而導致拒絕服務 (CVE-2026-34826)
- Rack::Static 使用簡單字串前置詞檢查造成非預定檔案洩漏 (CVE-2026-34785)
- Rack::Utils.select_best_encoding 有許多萬用字元 Accept-Encoding 項目的二次方時間複雜度 (CVE-2026-34230)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將 Rack 升級至 2.2.23、3.1.21、3.2.6 版或更新版本。另請參閱
https://github.com/rack/rack/security/advisories/GHSA-x8cg-fq8g-mxfx
https://github.com/rack/rack/security/advisories/GHSA-8vqr-qjwx-82mw
https://github.com/rack/rack/security/advisories/GHSA-qv7j-4883-hwh7
https://github.com/rack/rack/security/advisories/GHSA-q4qf-9j86-f5mh
https://github.com/rack/rack/security/advisories/GHSA-h2jq-g4cq-5ppq
https://github.com/rack/rack/security/advisories/GHSA-v569-hp3g-36wr
https://github.com/rack/rack/security/advisories/GHSA-7mqq-6cf9-v2qp
https://github.com/rack/rack/security/advisories/GHSA-vgpv-f759-9wx3
https://github.com/rack/rack/security/advisories/GHSA-q2ww-5357-x388
Plugin 詳細資訊
嚴重性: High
ID: 305959
檔案名稱: ruby_gem_rack_3_2_6.nasl
版本: 1.4
類型: Local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2026/4/10
已更新: 2026/4/17
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: High
基本分數: 9.4
時間性分數: 7
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:C
CVSS 評分資料來源: CVE-2026-34785
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2026-34830
弱點資訊
CPE: cpe:/a:ruby:rack
必要的 KB 項目: Host/ruby/modules/enumerated
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/4/2
弱點發布日期: 2026/4/2
參考資訊
CVE: CVE-2026-26961, CVE-2026-34230, CVE-2026-34763, CVE-2026-34785, CVE-2026-34786, CVE-2026-34826, CVE-2026-34829, CVE-2026-34830, CVE-2026-34831
IAVB: 2026-B-0085