CVE-2024-25126mediumCWE-1333

CVE-2024-25126: falha de média gravidade em rack

Rack ReDos in content type parsing (2nd degree polynomial)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar rack+ Monitorar rack

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

25Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 35%
Em resumo

Um cabeçalho Content-Type malformado pode fazer o Rack demorar muito para processar, tornando o servidor web lento ou indisponível. É um ataque que explora a análise de tipos de conteúdo.

Detalhe técnico

Uma vulnerabilidade ReDoS de segundo grau existe no analisador de tipo de mídia do Rack ao processar cabeçalhos Content-Type maliciosos. Um atacante remoto não autenticado pode enviar requisições especialmente construídas para consumir recursos do servidor e causar negação de serviço. A falha foi corrigida nas versões 3.0.9.1 e 2.2.8.1.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Rack is a modular Ruby web server interface. Carefully crafted content type headers can cause Rack’s media type parser to take much longer than expected, leading to a possible denial of service vulnerability (ReDos 2nd degree polynomial). This vulnerability is patched in 3.0.9.1 and 2.2.8.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
rack · rack
CVEs relacionadas — rack

No mesmo produto, das mais perigosas para as menos.

CVE-2019-16782MEDIUMPossible Information Leak / Session Hijack Vulnerability in RackEPSS 3.7%CVE-2024-26146MEDIUMPossible Denial of Service Vulnerability in Rack Header ParsingEPSS 2.0%CVE-2024-26141MEDIUMPossible DoS Vulnerability with Range Header in RackEPSS 1.6%CVE-2025-46727HIGHUnbounded-Parameter DoS in Rack::QueryParserEPSS 1.2%CVE-2025-25184MEDIUMPossible Log Injection in Rack::CommonLoggerEPSS 1.2%CVE-2025-27610HIGHLocal File Inclusion in Rack::StaticEPSS 1.2%