CVE-2023-28846 in unpoly-rails Gem
Tóm tắt
Bởi VulDB • 22/05/2026
Unpoly là một khung làm việc (framework) JavaScript dành cho các ứng dụng web phía máy chủ. Có một lỗ hổng có thể dẫn đến tình trạng Từ chối Dịch vụ (DoS) trong gem `unpoly-rails`, gem này triển khai giao thức máy chủ Unpoly cho các ứng dụng Rails. Lỗ hổng này ảnh hưởng đến các ứng dụng Rails hoạt động như một máy chủ upstream của một bộ cân bằng tải (load balancer) sử dụng các kiểm tra sức khỏe thụ động (passive health checks). Gem `unpoly-rails` phản hồi lại URL của yêu cầu dưới dạng tiêu đề phản hồi `X-Up-Location`. Bằng cách thực hiện một yêu cầu với các URL (đường dẫn hoặc chuỗi truy vấn) có độ dài quá mức, kẻ tấn công có thể khiến unpoly-rails ghi ra một tiêu đề phản hồi có kích thước cực kỳ lớn. Nếu tiêu đề phản hồi quá lớn để bộ cân bằng tải downstream của ứng dụng Rails có thể phân tích cú pháp, nó có thể khiến bộ cân bằng tải loại bỏ máy chủ upstream khỏi nhóm cân bằng tải. Điều này khiến phiên bản ứng dụng đó trở nên không khả dụng cho đến khi hết thời gian chờ cấu hình hoặc cho đến khi một kiểm tra sức khỏe chủ động (active healthcheck) thành công. Lỗ hổng này đã được sửa chữa và phát hành trong phiên bản 2.7.2.2, có sẵn qua RubyGems và GitHub. Người dùng không thể nâng cấp có thể: Cấu hình bộ cân bằng tải của bạn để sử dụng các kiểm tra sức khỏe chủ động, ví dụ bằng cách yêu cầu định kỳ một tuyến đường có phản hồi đã biết cho biết trạng thái sức khỏe; Cấu hình bộ cân bằng tải của bạn sao cho kích thước tối đa của các tiêu đề phản hồi ít nhất gấp đôi kích thước tối đa của một URL; hoặc thay vì thay đổi cấu hình máy chủ, bạn cũng có thể cấu hình ứng dụng Rails của mình để xóa các tiêu đề `X-Up-Location` dư thừa do unpoly-rails đặt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.