PT-2026-47625
CVE-2026-47736
·
تاريخ النشر
2026-06-08
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Puma الأقدم من 7.2.1
إصدارات Puma الأقدم من 8.0.2
الوصف
عند تمكين دعم بروتوكول PROXY v1، يقوم الخادم بقراءة البايتات الواردة في مخزن مؤقت داخلي وينتظر ظهور علامتي العودة إلى البداية وتغذية السطر (CRLF) لتحديد سطر PROXY v1. يمكن لمهاجم غير مصدق فتح اتصال TCP وإرسال البايتات باستمرار دون CRLF، مما يتسبب في قيام الخادم بإلحاق البيانات بمخزن ما قبل التحليل إلى أجل غير مسمى. يؤدي ذلك إلى نمو غير محدود في ذاكرة العملية وزيادة استهلاك وحدة المعالجة المركزية (CPU) بسبب المسح المتكرر للمخزن المؤقت، مما قد يؤدي إلى أخطاء نفاد الذاكرة (OOM) أو تدهور التوافر. تؤثر هذه المشكلة فقط على الخوادم التي تستخدم التكوين غير الافتراضي
set remote address proxy protocol: :v1.التوصيات
قم بالتحديث إلى الإصدار 7.2.1.
التحديث إلى الإصدار 8.0.2.
تعطيل تحليل بروتوكول PROXY v1 عن طريق إزالة التكوين
set remote address proxy protocol: :v1 أو تعليقه.تقييد الوصول المباشر عبر الشبكة إلى المستمعين الذين يستخدمون بروتوكول PROXY عن طريق السماح فقط بموازنات التحميل الموثوقة أو الوكلاء العكسيين وحظر الوصول العشوائي لعملاء TCP عبر جدار الحماية أو قواعد المجموعات الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾