CVE-2025-32441

Nome do Software Vulnerável e Versões Afetadas Versões do Rack anteriores a 2.2.14

Descrição O problema afeta o Rack, uma interface modular de servidor web Ruby, ao utilizar o middleware Rack::Session::Pool. Requisições Rack simultâneas podem restaurar uma sessão Rack excluída, permitindo que um usuário não autenticado ocupe essa sessão. Isso ocorre devido a condições de corrida em requisições Rack concorrentes. Um atacante pode explorar isso desencadeando uma requisição de longa duração dentro da mesma sessão, próxima ao momento do logout do usuário, mantendo acesso ilícito mesmo após o usuário ter tentado sair.

Recomendações Para versões anteriores a 2.2.14, garanta que a aplicação invalide sessões atomicamente marcando-as como deslogadas, por exemplo, usando uma flag logged out, em vez de excluí-las, e verifique esta flag em cada requisição para prevenir reutilização. Alternativamente, implemente um armazenamento de sessão personalizado que rastreie carimbos de tempo de invalidação de sessão e recuse aceitar dados de sessão se a sessão foi invalidada após o início da requisição. Atualize para a versão 2.2.14, que contém uma correção para o problema.