Vulnerabilidad en Rack (CVE-2025-49007)

Gravedad CVSS v4.0:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

04/06/2025

Última modificación:

10/10/2025

Descripción

Rack es una interfaz modular de servidor web Ruby. A partir de la versión 3.1.0 y anteriores a la 3.1.16, existe una vulnerabilidad de denegación de servicio en el componente de análisis Content-Disposition de Rack. Esto es muy similar al problema de seguridad anterior CVE-2022-44571. Una entrada cuidadosamente manipulada puede provocar que el análisis del encabezado Content-Disposition en Rack tarde un tiempo inesperado, lo que podría resultar en un vector de ataque de denegación de servicio. Este encabezado se usa habitualmente en el análisis multiparte. Cualquier aplicación que analice entradas multiparte con Rack (prácticamente todas las aplicaciones Rails) se ve afectada. La versión 3.1.16 incluye un parche para esta vulnerabilidad.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.60 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): Unreported

Puntuación base 4.0

6.60

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Bajo