Rack's multipart parser buffers unbounded per-part headers, enabling DoS (memory exhaustion)

O parser de multipart do Rack não limita quanto de dados ele armazena para os headers de cada parte, então um atacante pode enviar headers incompletos que nunca terminam, preenchendo a memória do servidor até ele ficar indisponível. É um ataque de negação de serviço que afeta qualquer aplicação web que usa Rack para receber uploads.

CVE-2025-61772 é uma vulnerabilidade de esgotamento de memória no Rack::Multipart::Parser (CWE-400) em que headers multipart incompletos, sem a sequência de encerramento CRLFCRLF, causam buffering ilimitado dos dados dos headers de cada parte. O vetor de ataque é remoto e sem autenticação; um atacante envia requisições multipart malformadas com headers incompletos para esgotar a memória do servidor e disparar OOM ou término do processo. Versões anteriores a 2.2.19, 3.1.17 e 3.2.2 são afetadas; versões corrigidas implementam um limite de tamanho por header de parte (64 KiB).