CVE-2025-61772highCWE-400

CVE-2025-61772: falha de alta gravidade em rack

Rack's multipart parser buffers unbounded per-part headers, enabling DoS (memory exhaustion)

Publicada em

Seguir esta CVE+ Monitorar rack+ Monitorar rack

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.9%
Em resumo

O parser de multipart do Rack não limita quanto de dados ele armazena para os headers de cada parte, então um atacante pode enviar headers incompletos que nunca terminam, preenchendo a memória do servidor até ele ficar indisponível. É um ataque de negação de serviço que afeta qualquer aplicação web que usa Rack para receber uploads.

Detalhe técnico

CVE-2025-61772 é uma vulnerabilidade de esgotamento de memória no Rack::Multipart::Parser (CWE-400) em que headers multipart incompletos, sem a sequência de encerramento CRLFCRLF, causam buffering ilimitado dos dados dos headers de cada parte. O vetor de ataque é remoto e sem autenticação; um atacante envia requisições multipart malformadas com headers incompletos para esgotar a memória do servidor e disparar OOM ou término do processo. Versões anteriores a 2.2.19, 3.1.17 e 3.2.2 são afetadas; versões corrigidas implementam um limite de tamanho por header de parte (64 KiB).

Resumo gerado e traduzido por IA a partir da descrição oficial.
Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, `Rack::Multipart::Parser` can accumulate unbounded data when a multipart part’s header block never terminates with the required blank line (`CRLFCRLF`). The parser keeps appending incoming bytes to memory without a size cap, allowing a remote attacker to exhaust memory and cause a denial of service (DoS). Attackers can send incomplete multipart headers to trigger high memory use, leading to process termination (OOM) or severe slowdown. The effect scales with request size limits and concurrency. All applications handling multipart uploads may be affected. Versions 2.2.19, 3.1.17, and 3.2.2 cap per-part header size (e.g., 64 KiB). As a workaround, restrict maximum request sizes at the proxy or web server layer (e.g., Nginx `client_max_body_size`).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
rack · rack
CVEs relacionadas — rack

No mesmo produto, das mais perigosas para as menos.

CVE-2024-25126MEDIUMRack ReDos in content type parsing (2nd degree polynomial)EPSS 35.4%CVE-2019-16782MEDIUMPossible Information Leak / Session Hijack Vulnerability in RackEPSS 3.7%CVE-2024-26146MEDIUMPossible Denial of Service Vulnerability in Rack Header ParsingEPSS 2.0%CVE-2024-26141MEDIUMPossible DoS Vulnerability with Range Header in RackEPSS 1.6%CVE-2025-46727HIGHUnbounded-Parameter DoS in Rack::QueryParserEPSS 1.2%CVE-2025-25184MEDIUMPossible Log Injection in Rack::CommonLoggerEPSS 1.2%