CVE-2025-61770 in Rack
要約
〜によって VulDB • 2026年06月28日
Rackはモジュール式のRuby Webサーバーインターフェースです。バージョン2.2.19、3.1.17、および3.2.2より前のバージョンでは、`Rack::Multipart::Parser`がメモリ上にmultipartプレアンブル（最初の境界線以前のバイト）全体をバッファリングしており、サイズ制限がありません。クライアントは有効な境界線に先立って大きなプレアンブルを送信することができ、これにより大幅なメモリの使用と、OutOfMemory (OOM) 状態によるプロセスの終了を引き起こす可能性があります。リモート攻撃者はmultipart/form-dataリクエストで長いプレアンブルを含めることで、一時的なメモリスパイクをトリガーできます。影響は許可されたリクエストサイズおよび同時実行数に応じて拡大し、ワーカーのクラッシュやガベージコレクションによる深刻なパフォーマンス低下をもたらす可能性があります。バージョン2.2.19、3.1.17、および3.2.2ではプレアンブルサイズの制限（例：16 KiB）が適用されるか、プレアンブルデータ全体が無視されます。回避策としては、プロキシまたはWebサーバーレベルでリクエストボディの総サイズを制限し、メモリ使用状況を監視してプロセスごとの制限を設定することが挙げられます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.