PT-2024-32484 · Ruby+5 · Webrick+5
Julianwu520
·
Publicado
2024-09-21
·
Atualizado
2025-11-26
·
CVE-2024-47220
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões do kit de ferramentas WEBrick até a 1.8.1
Descrição
Foi descoberta uma falha no kit de ferramentas WEBrick para Ruby, permitindo o contrabando de solicitações HTTP ao fornecer tanto um cabeçalho Content-Length quanto um cabeçalho Transfer-Encoding. Isso pode ser feito, por exemplo, incluindo “GET /admin HTTP/1.1r
” dentro de uma solicitação “POST /user HTTP/1.1r
”. A posição do fornecedor é que o WEBrick não deve ser utilizado em produção.
Recomendações
Para as versões do kit de ferramentas WEBrick até a 1.8.1, considere desativar o uso dos cabeçalhos Content-Length e Transfer-Encoding em solicitações HTTP como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
HTTP Request/Response Smuggling
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Linuxmint
Red Os
Suse
Ubuntu
Webrick