PT-2021-4061 · Ruby+1 · Action Pack+1
CVE-2021-22902
·
Publicado
2021-05-01
·
Atualizado
2025-09-29
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
gem ActionPack Ruby, versões 6.0.0 a 6.0.3.6
gem ActionPack Ruby, versões 6.1.0 a 6.1.3.1
Descrição
O problema está relacionado a uma possível vulnerabilidade de negação de serviço no analisador de tipo MIME do Action Dispatch. Cabeçalhos Accept cuidadosamente criados podem fazer com que o analisador de tipo MIME no Action Dispatch execute um backtracking catastrófico no mecanismo de expressões regulares. Isso pode levar a um consumo descontrolado de recursos, permitindo potencialmente que um invasor remoto cause uma negação de serviço.
Recomendações
Para as versões 6.0.0 a 6.0.3.6 da gem ActionPack Ruby, aplique o patch fornecido 6-0-Prevent-catastrophic-backtracking-during-mime-parsin.patch para evitar o backtracking catastrófico durante a análise de MIME.
Para as versões 6.1.0 a 6.1.3.1 da gem ActionPack Ruby, aplique o patch fornecido 6-1-Prevent-catastrophic-backtracking-during-mime-parsin.patch para evitar o backtracking catastrófico durante a análise de MIME.
Como solução alternativa temporária, considere usar o patch monkey colocado em um inicializador para contornar o problema.
Exploit
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Action Pack