Rack：多部分解析器将大型非文件字段完全缓冲在内存中，导致拒绝服务（内存耗尽）· CVE-2025-61771 · GitHub 安全公告数据库

漏洞详情

Rack::Multipart::Parser 将非文件表单字段（不含文件名的部分）完全作为 Ruby 字符串对象存储在内存中。multipart/form-data 请求中的单个大型文本字段（数百兆字节或更多）可能消耗等量的进程内存，从而导致内存不足（OOM）状况和拒绝服务（DoS）。

在多部分解析期间，文件部分被流式传输到临时文件，但非文件部分被缓冲到内存中：

1
2


body = String.new  # 非文件 → 内存缓冲区
@mime_parts[mime_index].body << content

这些内存缓冲区没有大小限制。因此，任何大型文本字段——虽然在技术上是有效的——都会在添加到参数之前完全加载到进程内存中。

攻击者可以发送大型非文件字段来触发过度内存使用。影响随请求大小和并发量而增加，可能导致工作进程崩溃或严重的垃圾收集开销。所有处理多部分表单提交的 Rack 应用程序都会受到影响。

升级：使用已修复的 Rack 版本，该版本对非文件字段强制执行合理的大小限制（例如 2 MiB）。
临时解决方案：
- 在 Web 服务器或代理层限制最大请求正文大小（例如 Nginx 的 client_max_body_size）。
- 在应用程序级别验证并拒绝异常大的表单字段。

本公告已被编辑。请查看历史记录。