Vulnerabilidad en Puma (CVE-2024-21647)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

08/01/2024

Última modificación:

11/01/2024

Descripción

Puma es un servidor web para aplicaciones Ruby/Rack creado para el paralelismo. Antes de la versión 6.4.2, Puma exhibía un comportamiento incorrecto al analizar cuerpos de codificación de transferencia fragmentados de una manera que permitía el contrabando de solicitudes HTTP. Las versiones fijas limitan el tamaño de las extensiones de fragmentos. Sin este límite, un atacante podría provocar un consumo ilimitado de recursos (CPU, ancho de banda de red). Esta vulnerabilidad se ha solucionado en las versiones 6.4.2 y 5.6.8.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto