CVE-2025-61919
Təsvir
Rack modulyar Ruby veb server interfeysidir. 2.2.20, 3.1.18 və 3.2.3 versiyalarından əvvəl `Rack::Request#POST` metodu `Content-Type: application/x-www-form-urlencoded` üçün sorğu gövdəsinin tamamını yaddaşa oxuyur və hər hansı bir uzunluq məhdudiyyəti tətbiq etmədən `rack.input.read(nil)` funksiyasını çağırır. Buna görə də böyük sorğu gövdələri analiz edilməzdən əvvəl tamamilə proses yaddaşına buferlənə bilər ki, bu da yaddaşın tükənməsi vasitəsilə xidmətdən imtinaya (DoS) səbəb olur. İstifadəçilər Rack-in 2.2.20, 3.1.18 və ya 3.2.3 versiyasına yüksəltmə etməlidirlər; bu versiyalardan hər biri `query_parser.bytesize_limit` vasitəsilə forma parametrinin limitlərini tətbiq edərək `application/x-www-form-urlencoded` gövdələrinin məhdudiyyətsiz oxunmasının qarşısını alır. Əlavə olaraq, proksi və ya veb server səviyyəsində (məsələn, Nginx `client_max_body_size`, Apache `LimitRequestBody`) ciddi maksimum gövdə ölçüsü təyin edilməlidir.
Necə düzəltmək olar
- rack rack2.2.20, 3.1.18, 3.2.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rack rack | v < 2.2.20, 3.0.0 ≤ v < 3.1.18, 3.2.0 ≤ v < 3.2.3 | 2.2.20, 3.1.18, 3.2.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.