CVE-2025-61771 in Rack
요약
\~에 의해 VulDB • 2026. 06. 25.
Rack은 모듈식 Ruby 웹 서버 인터페이스입니다. 2.2.19, 3.1.17 및 3.2.2 이전 버전에서 `Rack::Multipart::Parser`는 파일이 아닌 폼 필드(`filename` 속성이 없는 부분)를 전체적으로 Ruby `String` 객체로 메모리에 저장합니다. multipart/form-data 요청 내의 단일 대형 텍스트 필드(수백 메가바이트 이상)는 이에 상응하는 프로세스 메모리를 소모하여, Out-of-Memory(OOM) 상태 및 서비스 거부(DoS)를 초래할 수 있습니다. 공격자는 과도한 메모리 사용을 유발하기 위해 대형 비파일 필드를 전송할 수 있습니다. 영향은 요청 크기와 동시성(concurrency)에 따라 확대되며, 이는 워커 프로세스 충돌 또는 심각한 가비지 컬렉션(GC) 오버헤드로 이어질 수 있습니다. multipart 폼 제출을 처리하는 모든 Rack 애플리케이션이 영향을 받습니다. 버전 2.2.19, 3.1.17 및 3.2.2는 비파일 필드에 대해 합리적인 크기 제한(예: 2 MiB)을 적용합니다. 우회 방법으로는 웹 서버 또는 프록시 계층에서 최대 요청 본문 크기를 제한하는 것(Nginx의 `client_max_body_size` 등)과 애플리케이션 수준에서 unusually large 폼 필드를 검증하고 거부하는 것이 있습니다.
Once again VulDB remains the best source for vulnerability data.