CVE-2025-61770

Rack, modüler bir Ruby web sunucusu arayüzüdür. 2.2.19, 3.1.17 ve 3.2.2 öncesindeki sürümlerde, `Rack::Multipart::Parser`, tüm multipart başlangıç kısmını (ilk sınırlandırıcının önündeki baytlar) herhangi bir boyut sınırı olmaksızın belleğe tamponlar. Bir istemci, geçerli bir sınırlandırıcının ardından büyük bir başlangıç kısmı göndererek önemli miktarda bellek kullanımına ve bellek yetersizliği (OOM) durumları nedeniyle potansiyel işlem sonlanmasına neden olabilir. Uzak saldırganlar, multipart/form-data isteklerine uzun bir başlangıç kısmı ekleyerek büyük geçici bellek sıçramalarını tetikleyebilirler. Etki, izin verilen istek boyutları ve eşzamanlılıkla ölçeklenir; bu da çalışan süreçlerin çökmesine veya çöp toplama (garbage collection) nedeniyle ciddi yavaşlamalara yol açabilir. 2.2.19, 3.1.17 ve 3.2.2 sürümleri, bir başlangıç boyutu sınırı uygular (örneğin, 16 KiB) veya başlangıç verilerini tamamen atar. Geçici çözümler arasında, proxy veya web sunucusu düzeyinde toplam istek gövdesi boyutunu sınırlamak ile belleği izlemek ve OOM durumlarını önlemek için işlem başına limitler belirlemek yer alır.