Plateforme
ruby
Composant
rack
Corrigé dans
2.2.14
3.0.1
3.1.1
2.2.13
Une vulnérabilité de parcours de répertoire a été découverte dans la gem Rack::Static, affectant les versions inférieures ou égales à 2.2.9. Cette faille permet à un attaquant d'accéder à des fichiers situés en dehors du répertoire des fichiers statiques prévu, compromettant potentiellement la confidentialité et l'intégrité des données. La version corrigée, 2.2.13, est désormais disponible et son application est fortement recommandée.
L'exploitation réussie de cette vulnérabilité permet à un attaquant de contourner les restrictions d'accès et de lire n'importe quel fichier présent dans le répertoire racine spécifié par Rack::Static. Cela inclut potentiellement des fichiers de configuration sensibles, des clés API, des données de base de données ou d'autres informations confidentielles. L'attaquant pourrait également modifier des fichiers, selon les permissions du serveur web, ce qui pourrait entraîner une compromission plus large du système. Cette vulnérabilité est similaire à d'autres failles de parcours de répertoire, où une mauvaise validation des entrées utilisateur permet d'accéder à des ressources non autorisées.
Cette vulnérabilité a été rendue publique le 10 mars 2025. Il n'y a pas d'indication d'une exploitation active à ce jour, mais la nature de la vulnérabilité (parcours de répertoire) la rend potentiellement exploitable. La probabilité d'exploitation est considérée comme moyenne en raison de la complexité potentielle de l'exploitation et de la nécessité d'une configuration spécifique de Rack::Static. Aucun PoC public n'a été identifié à ce jour.
Applications using Rack::Static for serving static content, particularly those deployed in production environments, are at risk. Shared hosting environments where multiple applications share the same server and file system are especially vulnerable, as a compromise of one application could potentially expose files belonging to others. Legacy applications using older versions of Rack::Static are also at increased risk.
• ruby / gem: Use gem list to check for Rack::Static versions. Look for versions <= 2.2.9.
gem list rack-static• linux / server: Examine web server access logs for requests containing path traversal sequences (e.g., ../).
grep '../' /var/log/nginx/access.log• generic web: Use curl to attempt accessing files outside the intended static directory. If successful, the vulnerability is present.
curl http://your-server/../../../../etc/passwddisclosure
Statut de l'Exploit
EPSS
0.41% (percentile 62%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour la gem Rack vers la version 2.2.13 ou supérieure. Si la mise à jour n'est pas immédiatement possible, envisagez de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des séquences de parcours de répertoire (par exemple, ../). Vérifiez également les permissions du répertoire racine pour vous assurer qu'il n'est accessible qu'aux utilisateurs autorisés. Il est également recommandé de désactiver le service Rack::Static si ce n'est pas absolument nécessaire. Après la mise à jour, vérifiez que les fichiers sensibles ne sont plus accessibles via des requêtes malveillantes.
Actualice la gema `rack` a la versión 2.2.13, 3.0.14 o 3.1.12 o superior. Alternativamente, elimine el uso de `Rack::Static` o asegúrese de que `root:` apunte a un directorio que solo contenga archivos que deban ser accesibles públicamente. El uso de un CDN o un servidor de archivos estáticos similar también podría mitigar el problema.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-27610 is a path traversal vulnerability in Rack::Static versions 2.2.9 and below, allowing attackers to access files beyond the intended static directory.
You are affected if your application uses Rack::Static version 2.2.9 or earlier. Check your gem dependencies to determine if you are vulnerable.
Upgrade to Rack::Static version 2.2.13 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation if an upgrade is not immediately possible.
Currently, there are no confirmed reports of active exploitation, but the vulnerability's nature makes it a potential target.
Refer to the official Rack project website and Ruby security advisories for the latest information and updates regarding CVE-2025-27610.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier Gemfile.lock et nous te dirons instantanément si tu es affecté.