CVE-2025-32441

Rack, modüler bir Ruby web sunucusu arayüzüdür. Versiyon 2.2.14 öncesinde, `Rack::Session::Pool` ara yazılımı kullanıldığında, eşzamanlı rack istekleri silinmiş bir rack oturumunu geri yükleyebilir ve bu durum kimliği doğrulanmamış kullanıcının söz konusu oturumu işgal etmesine olanak tanır. Rack oturum ara yazılımı, isteğin başında oturumu hazırlar ve ardından ana rack uygulaması tarafından uygulanmış olabilecek değişikliklerle birlikte tekrar depoya kaydeder. Bu şekilde oturum, genel anlamda eşzamanlı rack istekleri üzerinden yarış durumlarının (race conditions) konusu haline gelir. `Rack::Session::Pool` ara yazılımı kullanılırken ve saldırganın bir oturum çerezini ele geçirebildiği varsayıldığında (bu zaten büyük bir sorundur), kullanıcı çıkış yapmaya çalıştıktan sonra bile haksız erişimi sürdürebilmek için saldırgan, kullanıcının çıkış yapmasına yakın bir zamanda (aynı oturum dahilinde) uzun süren bir isteği tetikleyebilirse oturum geri yüklenebilir. Versiyon 2.2.14, sorun için bir yama içermektedir. Bazı diğer hafifletme yöntemleri mevcuttur. Ya uygulamanın, oturumları silmek yerine örneğin bir `logged_out` bayrağı kullanarak onları çıkış yapmış olarak işaretleyip atomik olarak geçersiz kıldığından emin olun ve yeniden kullanımı önlemek için her istekte bu bayrağı kontrol edin; ya da oturum geçersiz kılma zaman damgalarını takip eden ve eğer oturum istek başladıktan sonra geçersiz kılınmışsa oturum verilerini kabul etmeyi reddeden özel bir oturum deposu uygulayın.