Ruby Rack < 2.2.19 / 3.1.x < 3.1.17 / 3.2.x < 3.2.2 多种漏洞

high Nessus 插件 ID 269982

语言：

简介

远程主机安装了受到多种漏洞影响的 Ruby 库。

描述

远程主机上安装的 Rack Ruby 库低于 2.2.19 版，3.1.17 之前的 3.1.x 版，或 3.2.2 之前的 3.2.x 版。因此，该应用程序受到多个漏洞的影响：

Rack::Multipart::Parser 在内存中缓存整个 multipart 前导数据（首个边界符之前的数据），且未设置任何大小限制。客户端可以发送包含大量前导数据、后接有效边界符的请求，导致服务器内存被大量占用，并可能因内存耗尽 (OOM) 而引发进程终止。
(CVE-2025-61770)

- Rack::Multipart::Parser 将非文件表单字段（即不包含文件名的部分）完整地存储在内存中，作为 Ruby 字符串对象。multipart/form-data 请求中的单个大型文本字段（数百兆字节或更多）可消耗同等的进程内存，可能导致内存不足 (OOM) 情况和拒绝服务 (DoS)。(CVE-2025-61771)

- 当多部分的标头块从不以要求的空行 (CRLFCRLF) 终止时，Rack::Multipart::Parser 可累积无限数据。解析器在没有大小上限的情况下，不断将传入的字节附加到内存，从而允许远程攻击者耗尽内存并造成拒绝服务 (DoS)。
(CVE-2025-61772)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。