CVE-2024-26146mediumCWE-1333

CVE-2024-26146: falha de média gravidade em rack

Possible Denial of Service Vulnerability in Rack Header Parsing

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar rack+ Monitorar rack

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 2.0%
Em resumo

O Rack, um framework Ruby para servidores web, tem uma vulnerabilidade onde headers HTTP especialmente construídos (Accept e Forwarded) podem desacelerar a análise de headers significativamente, causando uma possível negação de serviço que deixa o servidor sem responder.

Detalhe técnico

Uma falha de negação de serviço por expressão regular (ReDoS) na lógica de análise de headers do Rack (CWE-1333) permite que atacantes criem headers Accept ou Forwarded maliciosos que causam retrocesso exponencial durante o processamento. Ruby 3.2+ inclui proteções mitigando isso; versões vulneráveis exigem atualização para 2.0.9.4, 2.1.4.4, 2.2.8.1 ou 3.0.9.1.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Rack is a modular Ruby web server interface. Carefully crafted headers can cause header parsing in Rack to take longer than expected resulting in a possible denial of service issue. Accept and Forwarded headers are impacted. Ruby 3.2 has mitigations for this problem, so Rack applications using Ruby 3.2 or newer are unaffected. This vulnerability is fixed in 2.0.9.4, 2.1.4.4, 2.2.8.1, and 3.0.9.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
rack · rack
CVEs relacionadas — rack

No mesmo produto, das mais perigosas para as menos.

CVE-2024-25126MEDIUMRack ReDos in content type parsing (2nd degree polynomial)EPSS 35.4%CVE-2019-16782MEDIUMPossible Information Leak / Session Hijack Vulnerability in RackEPSS 3.7%CVE-2024-26141MEDIUMPossible DoS Vulnerability with Range Header in RackEPSS 1.6%CVE-2025-46727HIGHUnbounded-Parameter DoS in Rack::QueryParserEPSS 1.2%CVE-2025-25184MEDIUMPossible Log Injection in Rack::CommonLoggerEPSS 1.2%CVE-2025-27610HIGHLocal File Inclusion in Rack::StaticEPSS 1.2%