CVE-2024-47220

Versões do kit de ferramentas WEBrick até a 1.8.1

Foi descoberta uma falha no kit de ferramentas WEBrick para Ruby, permitindo o contrabando de solicitações HTTP ao fornecer tanto um cabeçalho Content-Length quanto um cabeçalho Transfer-Encoding. Isso pode ser feito, por exemplo, incluindo “GET /admin HTTP/1.1r ” dentro de uma solicitação “POST /user HTTP/1.1r ”. A posição do fornecedor é que o WEBrick não deve ser utilizado em produção.

Para as versões do kit de ferramentas WEBrick até a 1.8.1, considere desativar o uso dos cabeçalhos Content-Length e Transfer-Encoding em solicitações HTTP como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.