actionpack est vulnérable à une déni de service en raison d'une route de contrôleur wildcard

Un attaquant peut exploiter cette vulnérabilité en manipulant les routes de l'application, plus précisément en utilisant des routes de contrôleurs avec des jokers (wildcards). En envoyant des requêtes spécialement conçues, l'attaquant peut forcer l'application à mettre en cache de manière excessive des informations, ce qui conduit à une consommation importante de mémoire. Cette consommation excessive peut rapidement épuiser les ressources du serveur, entraînant un déni de service pour les utilisateurs légitimes. L'impact est significatif car il peut rendre l'application complètement indisponible, affectant potentiellement des milliers d'utilisateurs. Bien que cette vulnérabilité soit relativement ancienne, elle reste pertinente pour les systèmes hérités qui n'ont pas été mis à jour.

Applications using Ruby on Rails versions 4.x before 4.2.5.1 and 5.x before 5.0.0.beta1.1 are at risk. This includes web applications deployed on shared hosting environments, legacy applications that have not been regularly updated, and applications utilizing custom routing configurations that might inadvertently expose wildcard routes.

• ruby: Monitor Ruby processes for unusually high memory consumption using tools like ps or top.

ps aux | grep ruby | sort -k 4 -nr | head -10

• linux / server: Examine application logs for unusual routing patterns or excessive route generation. Use journalctl to filter for relevant errors or warnings.

journalctl -u your_rails_app -f | grep "route cache" 

• generic web: Monitor web server access logs for requests containing unusual or excessively long URL parameters that might be triggering the wildcard route vulnerability.

1. 2015-12-17Discovery

   discovery

2. 2017-10-24Disclosure

   disclosure

1. Publiée2017-10-24
2. Modifiée2024-11-29
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Ruby on Rails vers la version 4.2.5.1 ou une version ultérieure qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à revoir et à restreindre l'utilisation des routes de contrôleurs avec des jokers. Il est également recommandé de surveiller attentivement la consommation de mémoire du serveur et de mettre en place des alertes en cas de dépassement des seuils normaux. L'utilisation d'un pare-feu d'application web (WAF) peut également aider à bloquer les requêtes malveillantes ciblant cette vulnérabilité. Après la mise à jour, vérifiez la fonctionnalité de l'application et assurez-vous que les routes de contrôleurs sont configurées de manière sécurisée.