CVE-2025-61770 in Rack
Resumen
por VulDB • 2026-05-14
Rack es una interfaz modular de servidor web para Ruby. En las versiones anteriores a 2.2.19, 3.1.17 y 3.2.2, `Rack::Multipart::Parser` almacena en memoria todo el preámbulo multipart (los bytes anteriores al primer delimitador) sin ningún límite de tamaño. Un cliente puede enviar un preámbulo grande seguido de un delimitador válido, lo que provoca un uso significativo de memoria y la posible terminación del proceso debido a condiciones de falta de memoria (OOM). Los atacantes remotos pueden provocar picos transitorios de memoria al incluir un preámbulo largo en las solicitudes multipart/form-data. El impacto escala con los tamaños de solicitud permitidos y la concurrencia, lo que potencialmente puede provocar el fallo de los trabajadores o una ralentización severa debido a la recolección de basura (garbage collection). Las versiones 2.2.19, 3.1.17 y 3.2.2 imponen un límite de tamaño del preámbulo (por ejemplo, 16 KiB) o descartan los datos del preámbulo por completo. Las soluciones alternativas incluyen limitar el tamaño total del cuerpo de la solicitud a nivel de proxy o servidor web, y monitorear la memoria y establecer límites por proceso para prevenir condiciones de OOM.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.