Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el encabezado transfer-encoding en WEBrick en Ruby (CVE-2020-25613)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
06/10/2020
Última modificación:
24/01/2024

Descripción

Se detectó un problema en Ruby versiones hasta 2.5.8, versiones 2.6.x hasta 2.6.6 y versiones 2.7.x hasta 2.7.1. WEBrick, un simple servidor HTTP integrado con Ruby, no había comprobado rigurosamente el valor del encabezado transfer-encoding. Un atacante puede explotar potencialmente este problema para omitir un proxy inverso (que también presenta una comprobación de encabezado deficiente), que puede conllevar a un ataque de Trafico Inapropiado de Peticiones HTTP

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:* 2.5.8 (incluyendo)
cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:* 2.6.0 (incluyendo) 2.6.6 (incluyendo)
cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:* 2.7.0 (incluyendo) 2.7.1 (incluyendo)
cpe:2.3:a:ruby-lang:webrick:*:*:*:*:*:ruby:*:* 1.6.0 (incluyendo)
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*