CVE-2024-45614 in Puma
Zusammenfassung
von VulDB • 30.06.2026
Puma ist ein für Parallelität konzipierter Ruby/Rack-Webserver. In betroffenen Versionen können Clients Werte, die von zwischengeschalteten Proxies (wie X-Forwarded-For) festgelegt wurden, überschreiben, indem sie eine Unterstrich-Version desselben Headers bereitstellen (X-Forwarded_For). Alle Benutzer, die auf proxyfestgelegte Variablen vertrauen, sind betroffen. Ab v6.4.3/v5.6.9 werden alle Header mit Unterstrichen verworfen, wenn auch die Version ohne Unterstrich vorhanden ist. Dies stellt effektiv sicher, dass die vom Proxy definierten Headers immer Vorrang haben. Es wird empfohlen, ein Upgrade durchzuführen. Nginx verfügt über eine Konfigurationsvariable `underscores_in_headers`, um diese Header auf Proxy-Ebene als Abhilfemaßnahme zu verwerfen. Alle Benutzer, die implizit den von Proxies festgelegten Headern für Sicherheitszwecke vertrauen, sollten dies unverzüglich einstellen, bis sie auf die gepatchten Versionen aktualisiert wurden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.