PT-2025-20315
CVE-2025-46727
·
تاريخ النشر
2025-05-07
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Rack الأقدم من 2.2.14 و3.0.16 و3.1.14
الوصف
Rack هو واجهة خادم ويب معيارية مكتوبة بلغة Ruby. يقوم
Rack::QueryParser بتحليل سلاسل الاستعلام ونصوص application/x-www-form-urlencoded وتحويلها إلى هياكل بيانات Ruby دون فرض أي حدود على عدد المعلمات، مما يسمح للمهاجمين بإرسال طلبات تحتوي على أعداد هائلة من المعلمات. وهذا يتيح للمهاجم إرسال طلب واحد يحتوي على مئات الآلاف (أو أكثر) من المعلمات، مما يستهلك قدرًا مفرطًا من الذاكرة ووحدة المعالجة المركزية (CPU) أثناء التحليل. يمكن للمهاجم إحداث هجوم رفض الخدمة عن طريق إرسال طلبات HTTP مصممة خصيصًا لهذا الغرض، مما قد يؤدي إلى استنفاد الذاكرة أو إرهاق موارد وحدة المعالجة المركزية (CPU)، مما يؤدي إلى توقف الخادم Rack أو تعطله. وينتج عن ذلك انقطاع تام للخدمة حتى يتم إعادة تشغيل الوحدة العاملة المتأثرة.التوصيات
لحل المشكلة، قم بالتحديث إلى إصدار من Rack يحد من عدد المعلمات التي يتم تحليلها، مثل الإصدارات 2.2.14 أو 3.0.16 أو 3.1.14.
أو بدلاً من ذلك، استخدم البرمجيات الوسيطة لفرض حد أقصى لحجم سلسلة الاستعلام أو عدد المعلمات.
استخدم وكيلًا عكسيًّا (مثل Nginx) للحد من أحجام الطلبات ورفض سلاسل الاستعلام أو نصوص الطلبات الكبيرة جدًّا.
يُعد الحد من أحجام نصوص الطلبات وطول سلاسل الاستعلام على مستوى خادم الويب أو شبكة توزيع المحتوى (CDN) إجراءً فعالاً للتخفيف من حدة المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾