CVE-2025-25184 in rack
Zusammenfassung
von VulDB • 08.06.2026
Rack bietet eine Schnittstelle zur Entwicklung von Webanwendungen in Ruby. Vor den Versionen 2.2.11, 3.0.12 und 3.1.11 kann Rack::CommonLogger durch Eingaben ausgenutzt werden, die Newline-Zeichen enthalten, um Log-Einträge zu manipulieren. Das mitgelieferte Proof-of-Concept demonstriert das Einschleusen schädlicher Inhalte in Logs. Wenn ein Benutzer seine Autorisierungsdaten über Rack::Auth::Basic bereitstellt und diese erfolgreich sind, wird der Benutzername in env['REMOTE_USER'] gespeichert und später von Rack::CommonLogger zu Logging-Zwecken verwendet. Das Problem tritt auf, wenn ein Server absichtlich oder unabsichtlich die Erstellung eines Benutzers mit einem Benutzernamen zulässt, der CRLF- und Leerzeichen enthält, oder wenn der Server einfach alle Anmeldeversuche protokollieren möchte. Wenn ein Angreifer einen Benutzernamen mit CRLF-Zeichen eingibt, wird das Logfile den schädlichen Benutzernamen zusammen mit den CRLF-Zeichen protokollieren. Angreifer können die Log-Formatierung stören oder betrügerische Einträge einfügen, was potenziell echte Aktivitäten verschleiern oder schädliche Daten in Protokolldateien einschleusen kann. Die Versionen 2.2.11, 3.0.12 und 3.1.11 enthalten eine Korrektur.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.