CVE-2021-29509

Puma, Ruby/Rack tətbiqləri üçün paralel HTTP 1.1 serveridir. CVE-2019-16770 üçün tətbiq edilən düzəliş natamam idi. Orijinal düzəliş yalnız artıq qəbul edilmiş mövcud bağlantıları, eyni prosesdəki bütün axınları (threads) dolduran açgözlü davamlı bağlantıların sorğuları bloklamasından qorumuşdu. Lakin yeni bağlantılar hələ də klasterdəki bütün proseslərdə olan bütün axınları dolduran açgözlü davamlı bağlantılar tərəfindən bloklana bilərdi. Threadpool-da olan axın sayından daha çox paralel `keep-alive` bağlantısı alan `puma` serveri yalnız bağlantıların bir hissəsinə xidmət göstərirdi və xidmət göstərilməyən bağlantılara girişi məhdudlaşdıraraq xidmətdən imtinaya səbəb olurdu. Bu problem `puma` 4.3.8 və 5.3.1 versiyalarında aradan qaldırılıb. `queue_requests false` parametrinin təyin edilməsi də problemi həll edir. Lakin bu, `nginx` və ya `apache` kimi tərs proksi (reverse proxy) olmadan `puma`-dan istifadə etdikdə tövsiyə edilmir, çünki bu sizi yavaş müştəri hücumlarına (məsələn, slowloris) qarşı həssas edəcəkdir. Düzəliş çox kiçikdir və Puma-nın dəstəklənməyən versiyalarını istifadə edənlər üçün git yaması mövcuddur.