CVE-2024-21647

Puma es un servidor web para aplicaciones Ruby/Rack creado para el paralelismo. Antes de la versión 6.4.2, Puma exhibía un comportamiento incorrecto al analizar cuerpos de codificación de transferencia fragmentados de una manera que permitía el contrabando de solicitudes HTTP. Las versiones fijas limitan el tamaño de las extensiones de fragmentos. Sin este límite, un atacante podría provocar un consumo ilimitado de recursos (CPU, ancho de banda de red). Esta vulnerabilidad se ha solucionado en las versiones 6.4.2 y 5.6.8.

A flaw was found in Puma rubygem. Versions prior 6.4.2 are susceptible to a HTTP smuggling attack when parsing chunked transfer encoding bodies on HTTP messages, which don't limit the size of the message chunk extensions. This issue may lead to uncontrolled resource consumption, possibly resulting in a denial of service of the attacked server.