CVE-2025-25184

Rack, Ruby dilində veb tətbiqlərinin hazırlanması üçün interfeys təmin edir. 2.2.11, 3.0.12 və 3.1.10 versiyalarından əvvəlki versiyalarda, yeni sətir simvolları ehtiva edən girişlər vasitəsilə Rack::CommonLogger istifadə edilərək loq yazıları manipulyasiya oluna bilər. Təqdim edilmiş konsept sübutu (PoC), loqlara zərərli məzmunun yerləşdirilməsini nümayiş etdirir. İstifadəçi Rack::Auth::Basic vasitəsilə autentifikasiya məlumatlarını təqdim etdikdə, uğurlu olduqda istifadəçi adı env['REMOTE_USER'] dəyişəninə yerləşdirilir və daha sonra Rack::CommonLogger tərəfindən loqlama məqsədilə istifadə olunur. Problem, serverin qəsdən və ya qeyri-ixtiyari şəkildə istifadəçi adında CRLF və boşluq simvolları olan istifadəçilərin yaradılmasına icazə verdiyi və ya serverin hər bir giriş cəhdini loqlamaq istədiyi halda baş verir. Hücumçu CRLF simvolu olan istifadəçi adı daxil etdikdə, loqqer həmin zərərli istifadəçi adını CRLF simvolları ilə birlikdə loq faylına yazır. Hücumçular loq formatlarını poza və ya saxta yazıların əlavə edə bilər ki, bu da real fəaliyyətin gizlədilməsinə və ya loq fayllarına zərərli məlumatların yerləşdirilməsinə səbəb ola bilər. 2.2.11, 3.0.12 və 3.1.10 versiyalarında bu problem aradan qaldırılıb.