Podatności Rack

Rack::Request nieprawidłowo parsuje nagłówek Host, akceptując znaki takie jak /, ?, # i @, które nie są dozwolone w RFC. Funkcja req.host zwraca pełną, nieprzefiltrowaną wartość, co pozwala na ominięcie walidacji hosta opartej na prostych prefiksach lub sufiksach.

Rack w wersjach od 3.0.0.beta1 do 3.1.20 oraz 3.2.0 do 3.2.5 zawiera podatność DoS w parserze multipart. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie multipart/form-data z wieloma częściami zawierającymi długie, uciekane wartości parametrów, co powoduje nadmierne zużycie CPU podczas parsowania.

Rack przed wersjami 3.1.21 i 3.2.6 nieprawidłowo parsuje nagłówek Forwarded (RFC 7239), dzieląc na średniki przed obsługą wartości cytowanych. Ponieważ cytowane wartości mogą zawierać średniki, nagłówek może być interpretowany jako wiele dyrektyw Forwarded, co umożliwia atakującym przemycanie parametrów host, proto, for lub by.

Rack::Multipart::Parser nieprawidłowo rozwija złożone nagłówki multipart, zachowując CRLF w wartościach parametrów. Może to prowadzić do wstrzykiwania nagłówków lub dzielenia odpowiedzi HTTP w aplikacjach używających tych wartości.

W bibliotece Rack (modularny interfejs serwera WWW w Ruby) w wersjach przed 2.2.23, 3.1.21 i 3.2.6 metoda Rack::Files#fail ustawia nagłówek Content-Length przy użyciu String#size zamiast String#bytesize. Gdy treść odpowiedzi zawiera wielobajtowe znaki UTF-8, deklarowana długość jest mniejsza niż faktyczna liczba wysłanych bajtów. Atakujący może wykorzystać tę rozbieżność, żądając nieistniejącej ścieżki z zakodowanymi procentowo znakami UTF-8, co prowadzi do nieprawidłowego ramowania odpowiedzi HTTP i potencjalnej desynchronizacji odpowiedzi w środowiskach polegających na błędnej wartości Content-Length.

W Rack przed wersjami 2.2.23, 3.1.21 i 3.2.6 stwierdzono podatność w Rack::Sendfile#map_accel_path. Wstrzykiwanie nagłówka X-Accel-Mapping do wyrażenia regularnego bez odpowiedniego escapowania umożliwia atakującemu kontrolę nad nagłówkiem X-Accel-Redirect, co może prowadzić do serwowania nieautoryzowanych plików przez nginx.

Rack przed wersjami 2.2.23, 3.1.21 i 3.2.6 nie ogranicza rozmiaru danych przesyłanych w żądaniach multipart/form-data bez nagłówka Content-Length. Atakujący może przesłać dowolnie duży plik, powodując wyczerpanie miejsca na dysku i odmowę usługi (DoS).

Rack przed wersjami 2.2.23, 3.1.21 i 3.2.6 ma podatność na odmowę usługi przez nieograniczoną liczbę zakresów bajtów w nagłówku HTTP Range. Atakujący może dostarczyć wiele małych, nakładających się zakresów, co powoduje nieproporcjonalne zużycie CPU, pamięci, I/O i przepustowości.

Rack::Static błędnie ocenia reguły nagłówków na surowym, zakodowanym URL-u PATH_INFO, podczas gdy plik jest serwowany po dekodowaniu. Żądanie zakodowanej wariantu ścieżki może ominąć zamierzone nagłówki bezpieczeństwa.

Rack w wersjach przed 2.2.23, 3.1.21 i 3.2.6 nieprawidłowo sprawdza prefiksy URL w Rack::Static, co może prowadzić do nieautoryzowanego serwowania plików statycznych i ujawnienia informacji.

Rack::Directory interpoluje skonfigurowaną ścieżkę główną bezpośrednio do wyrażenia regularnego podczas wyprowadzania wyświetlanej ścieżki katalogu. Jeśli ścieżka główna zawiera metaznaki wyrażeń regularnych, takie jak +, * lub ., prefiks może nie zostać poprawnie usunięty, a wygenerowane listowanie katalogów może ujawnić pełną ścieżkę systemu plików w wyjściu HTML.

W interfejsie Rack (wersje przed 2.2.23, 3.1.21 i 3.2.6) stwierdzono podatność na atak DoS w metodzie Rack::Utils.select_best_encoding. Nieuwierzytelniony atakujący może wysłać żądanie z spreparowanym nagłówkiem Accept-Encoding, powodując nadmierne zużycie CPU przez Rack::Deflater.

W bibliotece Rack (Ruby) przed wersjami 2.2.23, 3.1.21 i 3.2.6 wykryto podatność na przemycanie treści multipart. Rack wybiera ostatni parametr boundary zamiast pierwszego, co może być wykorzystane do ominięcia filtrów WAF.

Podatność w bibliotece Rack umożliwia ominięcie ograniczeń dostępu do katalogów poprzez manipulację ścieżką. Mechanizm `Rack::Directory` sprawdza prefiks ścieżki, co pozwala na dostęp do katalogów poza skonfigurowanym korzeniem, np. przez żądanie `/../root_example/`. Problem został naprawiony w wersjach 2.2.22, 3.1.20 i 3.2.5.