CVE-2026-34230
Açıklama
Rack, modüler bir Ruby web sunucusu arayüzüdür. 2.2.23, 3.1.21 ve 3.2.6 versiyonlarından önce, Rack::Utils.select_best_encoding yöntemi, başlık çok sayıda joker karakter (*) girdisi içerdiğinde Accept-Encoding değerlerini kuadratik zaman karmaşıklığı ile işlemektedir. Bu yöntem, yanıt kodlamasını seçmek için Rack::Deflater tarafından kullanıldığından, kimliği doğrulanmamış bir saldırgan, özel olarak hazırlanmış bir Accept-Encoding başlığı içeren tek bir istek göndererek sıkıştırma ara katman yazılımı yolunda orantısız CPU tüketimine neden olabilir. Bu durum, Rack::Deflater kullanan uygulamalar için hizmet reddi durumuna yol açar. Bu sorun 2.2.23, 3.1.21 ve 3.2.6 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- rack rack2.2.23, 3.1.21, 3.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rack rack | v < 2.2.23, 3.0.0 ≤ v < 3.1.21, 3.2.0 ≤ v < 3.2.6 | 2.2.23, 3.1.21, 3.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.