不正なクライアントは、keepaliveリクエストを使用してPumaのリアクターを独占し、サービス拒否攻撃を引き起こす可能性があります

この脆弱性を悪用されると、攻撃者はPumaサーバーをDoS攻撃で停止させることができます。攻撃者は、大量のkeepaliveリクエストを送信することで、Pumaのreactorスレッドを飽和させ、正当なリクエストの処理を妨げます。これにより、Webアプリケーションが利用不能になり、サービス中断が発生する可能性があります。特に、リソースが限られた環境や、高負荷なWebアプリケーションでは、DoS攻撃の影響が大きくなる可能性があります。Pumaのreactorが過負荷状態になると、新規接続が待ち行列に留まり、最終的にはサーバーが応答しなくなる可能性があります。

1. 予約済み2019-09-24
2. 公開日2019-12-05
3. 更新日2026-03-13
4. EPSS 更新日2026-04-02

Puma 4.3.1または3.12.2へのアップグレードが推奨されます。アップグレードが困難な場合は、リバースプロキシを導入し、Pumaクラスタまたはプロセスへのkeepalive接続数を制限することで、攻撃の影響を軽減できます。リバースプロキシの設定で、keepalive接続数の上限をPumaの利用可能なスレッド数よりも少なく設定してください。また、Pumaの設定で、keepaliveタイムアウトを短く設定することも有効です。アップグレード後、Pumaサーバーが正常に動作していることを確認し、keepaliveリクエストに対する応答が適切に行われていることを検証してください。