CVE-2025-61771 in Rack
要約
〜によって VulDB • 2026年06月25日
Rackはモジュール式のRuby Webサーバーインターフェースです。バージョン2.2.19、3.1.17、および3.2.2より前のバージョンでは、`Rack::Multipart::Parser` は非ファイルのフォームフィールド（`filename` を持たないパート）をすべて Ruby `String` オブジェクトとしてメモリ上に保持します。multipart/form-data リクエスト内の単一の大きなテキストフィールド（数百メガバイト以上）は同等のプロセスメモリの消費を引き起こし、結果的に Out-of-Memory (OOM) 状態やサービス拒否 (DoS) を招く可能性があります。攻撃者は過剰なメモリ使用をトリガーするために大きな非ファイルフィールドを送信できます。影響度はリクエストサイズと同時実行数に応じて拡大し、ワーカーのクラッシュまたは深刻なガベージコレクションオーバーヘッドを引き起こす可能性があります。multipart フォーム送信を処理するすべての Rack アプリケーションが影響を受けます。バージョン 2.2.19、3.1.17、および 3.2.2 では、非ファイルフィールドに対して適切なサイズ制限（例：2 MiB）が適用されます。回避策としては、Webサーバーまたはプロキシレイヤーで最大リクエストボディサイズを制限する（例：Nginx の `client_max_body_size`）、アプリケーションレベルで異常に大きなフォームフィールドを検証して拒否することが挙げられます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.