PT-2025-8695 · Rubygems+9 · Cgi+9

Svalkanov · Publicado 2025-02-26 · Atualizado 2025-11-26 · CVE-2025-27220

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do Software Vulnerável e Versões Afetadas Versões da gem CGI anteriores a 0.4.2

Descrição Existe uma vulnerabilidade de Negação de Serviço por Expressão Regular (ReDoS) no método Util#escapeElement. Este problema pode levar a um alto consumo de CPU devido a entrada manipulada. A vulnerabilidade afeta as versões 3.1 e 3.2 do Ruby.

Recomendações Para versões da gem CGI anteriores a 0.4.2, atualize a gem CGI para a versão 0.4.2 ou posterior. Como solução temporária, considere restringir o uso do método Util#escapeElement até que um patch esteja disponível.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

ALSA-2025:4063

ALSA-2025:4488

ALSA-2025_4488

AZL-57791

AZL-57938

BDU:2025-05132

CESA-2025_4063

CVE-2025-27220

DLA-4082-1

ECHO-EDF3-CB70-6D3E

GHSA-MHWM-JH88-3GJF

INFSA-2025_4063

INFSA-2025_4487

INFSA-2025_4488

MGASA-2025-0290

OESA-2025-1244

OESA-2025-1261

OESA-2025-1262

OESA-2025-1263

OESA-2025-1264

OPENSUSE-SU-2025_1369-1

RHSA-2025:4063

RHSA-2025:4487

RHSA-2025:4488

RHSA-2025_4063

RHSA-2025_4487

RHSA-2025_4488

SUSE-SU-2025:1369-1

SUSE-SU-2025:4264-1

USN-7418-1

USN-7442-1

Produtos afetados

Almalinux

Cgi

Centos

Debian

Linuxmint

Red Hat

Red Os

Rocky Linux

Suse

Ubuntu

Referências · 106

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/cgi/CVE-2025-27220.yml · Exploit
• https://github.com/ruby/cgi/pull/52 · Nota
• https://github.com/ruby/cgi/pull/53 · Nota
• https://github.com/ruby/cgi/pull/54 · Nota
• https://github.com/ruby/cgi · Nota
• https://bugzilla.suse.com/1232440 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2025-27220 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-05132 · Nota de Segurança
• https://twitter.com/LambdaWatchdog/status/1896893583413719223 · Publicação no Twitter
• https://linux.oracle.com/errata/ELSA-2025-4487.html · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-35176 · Aviso do Fabricante
• https://ruby-lang.org/en/news/2025/02/26/security-advisories · Nota
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2025-1262 · Nota
• https://osv.dev/vulnerability/ALSA-2025:4488 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALSA-2025:4063 · Aviso do Fabricante