CVE-2018-16470: falha em Rack
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O analisador de multipart do Rack anterior à versão 2.0.6 pode ser explorado por requisições especialmente elaboradas para consumir recursos de CPU em excesso, causando lentidão ou indisponibilidade da aplicação.
Uma vulnerabilidade de negação de serviço existe no analisador multipart do Rack (versões anteriores a 2.0.6), onde requisições HTTP multipart maliciosas desencadeiam uma condição patológica de análise, causando consumo de CPU desproporcional ao tamanho da requisição. O ataque requer acesso de rede para enviar requisições manipuladas, sem necessidade de autenticação. O impacto é a degradação da disponibilidade da aplicação.
No mesmo produto, das mais perigosas para as menos.