Ruby Rack < 2.2.19 / 3.1.x < 3.1.17 / 3.2.x < 3.2.2 多个漏洞

high Nessus 插件 ID 269982

语言：

简介

远程主机安装有受多个漏洞影响的 Ruby 库。

描述

远程主机上安装的 Rack Ruby 库版本低于 2.2.19、 3.1.x 低于 3.1.17或 3.2.x 低于 3.2.2。因此，该应用程序受到多个漏洞的影响：

- Rack::Multipart::Parser 将整个多部分前导码第一个边界之前的字节缓冲在内存中而没有任何大小限制。客户端可在有效边界前发送大型前导码从而因内存不足 (OOM) 的情况而造成大量内存使用并可能导致进程终止。
(CVE-2025-61770)

- Rack::Multipart::Parser 将非文件表单字段无文件名的部分完全存储在内存中作为 Ruby String 对象。multipart/form-data 请求中的单个大型文本字段数百兆或更多可消耗同等的进程内存可能导致内存不足 (OOM) 情况和拒绝服务 (DoS)。 (CVE-2025-61771)

- 当多部分部分的标头块从不以所需的空行 (CRLFCRLF) 终止时Rack::Multipart::Parser 可累积不受限制的数据。解析器不断将传入的字节附加到没有大小上限的内存中从而允许远程攻击者耗尽内存并造成拒绝服务 (DoS)。
(CVE-2025-61772)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。