Rack's multipart parser buffers unbounded per-part headers, enabling DoS (memory exhaustion)

El analizador multipart de Rack no limita cuántos datos almacena para los encabezados de cada parte, por lo que un atacante puede enviar encabezados incompletos que nunca terminan, llenando la memoria del servidor hasta que falla. Es un ataque de denegación de servicio que afecta a cualquier aplicación web que usa Rack para manejar cargas de archivos.

CVE-2025-61772 es una vulnerabilidad de agotamiento de memoria en Rack::Multipart::Parser (CWE-400) donde encabezados multipart incompletos sin la secuencia de terminación CRLFCRLF causan buffering ilimitado de datos de encabezados por parte. El vector de ataque es remoto sin autenticación; un atacante envía solicitudes multipart malformadas con encabezados incompletos para agotar la memoria del servidor e inducir OOM o terminación del proceso. Las versiones anteriores a 2.2.19, 3.1.17 y 3.2.2 están afectadas; las versiones parcheadas implementan un límite de tamaño por encabezado de parte (64 KiB).