CVE-2025-61771

Rack, modüler bir Ruby web sunucusu arayüzüdür. 2.2.19, 3.1.17 ve 3.2.2 öncesindeki sürümlerde, `Rack::Multipart::Parser`, dosya olmayan form alanlarını (`filename` parametresi bulunmayan kısımları) tamamen bellek üzerinde Ruby `String` nesneleri olarak saklar. Bir multipart/form-data isteğindeki tek bir büyük metin alanı (yüzlerce megabayt veya daha fazlası), eşdeğer miktarda işlem belleği tüketebilir; bu durum potansiyel olarak bellek yetersizliği (OOM) koşullarına ve hizmet reddine (DoS) yol açabilir. Saldırganlar, aşırı bellek kullanımını tetiklemek için büyük boyutlu dosya dışı alanlar gönderebilir. Etki, istek boyutu ve eşzamanlılık ile ölçeklenir; bu da çalışan süreçlerin çökmesine veya ciddi çöp toplama (garbage-collection) yüküne neden olabilir. Multipart form gönderimlerini işleyen tüm Rack uygulamaları etkilenmektedir. 2.2.19, 3.1.17 ve 3.2.2 sürümleri, dosya dışı alanlar için makul bir boyut sınırı (örneğin, 2 MiB) uygular. Geçici çözümler arasında, maksimum istek gövdesi boyutunun web sunucusu veya proxy katmanında sınırlandırılması (örneğin, Nginx `client_max_body_size`) ile uygulama düzeyinde olağanüstü büyük form alanlarının doğrulanması ve reddedilmesi yer almaktadır.