由于传入的“profiler_runs”参数值不受限制，rack-contrib 容易受到拒绝服务攻击 (CVE-2024-35231)
CVE编号
CVE-2024-35231利用情况
暂无补丁情况
N/A披露时间
2024-05-28漏洞描述
rack-contrib提供了用于Rack的贡献中间件和实用程序，Rack是一个Ruby Web服务器接口。在2.5.0版本之前的rack-contrib存在漏洞，因为未对用户控制的数据`profiler_runs`加以限制，导致在服务器端分配资源时没有任何限制，可能由远程用户控制的数据导致拒绝服务。版本2.5.0包含了该问题的修补程序。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/rack/rack-contrib/commit/0eec2a9836329051c6742549e65a94a4c24fe6f7 | |
| https://github.com/rack/rack-contrib/security/advisories/GHSA-8c8q-2xw3-j869 |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 已更改
- 用户交互 无
- 可用性 高
- 保密性 无
- 完整性 无
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论