Vulnerabilidad en Rack (CVE-2024-39316)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

02/07/2024

Última modificación:

10/10/2025

Descripción

Rack es una interfaz modular de servidor web Ruby. A partir de la versión 3.1.0 y antes de la versión 3.1.5, existe una vulnerabilidad de denegación de servicio de expresión regular (ReDoS) en el módulo `Rack::Request::Helpers` al analizar los encabezados de aceptación HTTP. Esta vulnerabilidad puede ser aprovechada por un atacante que envía encabezados "Accept-Encoding" o "Accept-Language" especialmente manipulados, lo que hace que el servidor dedique demasiado tiempo a procesar la solicitud y provoque una denegación de servicio (DoS). La solución para CVE-2024-26146 no se aplicó a la rama principal y, por lo tanto, aunque el problema se solucionó para la serie de versiones Rack v3.0, no se solucionó en la serie de versiones v3.1 hasta la v3.1.5. Los usuarios de versiones de la rama 3.1 deben actualizar a la versión 3.1.5 para recibir la solución.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto