PT-2024-32484 · Ruby+5 · Webrick+5

Julianwu520

·

Publicado

2024-09-21

·

Atualizado

2025-11-26

·

CVE-2024-47220

CVSS v2.0

7.8

Alta

VetorAV:N/AC:L/Au:N/C:N/I:C/A:N
Nome do software vulnerável e versões afetadas
Versões do kit de ferramentas WEBrick até a 1.8.1
Descrição
Foi descoberta uma falha no kit de ferramentas WEBrick para Ruby, permitindo o contrabando de solicitações HTTP ao fornecer tanto um cabeçalho Content-Length quanto um cabeçalho Transfer-Encoding. Isso pode ser feito, por exemplo, incluindo “GET /admin HTTP/1.1r ” dentro de uma solicitação “POST /user HTTP/1.1r ”. A posição do fornecedor é que o WEBrick não deve ser utilizado em produção.
Recomendações
Para as versões do kit de ferramentas WEBrick até a 1.8.1, considere desativar o uso dos cabeçalhos Content-Length e Transfer-Encoding em solicitações HTTP como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

HTTP Request/Response Smuggling

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2025-10615
CVE-2024-47220
GHSA-6F62-3596-G6W7
MGASA-2024-0348
OESA-2024-2226
OESA-2024-2247
OPENSUSE-SU-2025_0736-1
OPENSUSE-SU-2025_1369-1
SUSE-SU-2024:3939-1
SUSE-SU-2024_3939-1
SUSE-SU-2025:0736-1
SUSE-SU-2025:1369-1
SUSE-SU-2025:4264-1
SUSE-SU-2025_0736-1
SUSE-SU-2025_1369-1
USN-7057-1
USN-7057-2
USN-7840-1

Produtos afetados

Debian
Linuxmint
Red Os
Suse
Ubuntu
Webrick