Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-07728

Опубликовано: 02 апр. 2026
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость модульного интерфейса веб-сервера Rack языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Canonical Ltd.
Red Hat Inc.
ООО «Ред Софт»
АО «ИВК»
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»

Наименование ПО

Ubuntu
Red Hat Enterprise Linux
Red Hat 3scale API Management Platform
РЕД ОС
АЛЬТ СП 10
Logging subsystem for Red Hat OpenShift
Rack
ПК СВ «Брест»

Версия ПО

14.04 LTS (Ubuntu)
7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
18.04 LTS (Ubuntu)
8 (Red Hat Enterprise Linux)
20.04 LTS (Ubuntu)
2 (Red Hat 3scale API Management Platform)
7.3 (РЕД ОС)
22.04 LTS (Ubuntu)
9 (Red Hat Enterprise Linux)
- (АЛЬТ СП 10)
- (Logging subsystem for Red Hat OpenShift)
24.04 LTS (Ubuntu)
10 (Red Hat Enterprise Linux)
25.10 (Ubuntu)
8.0 (РЕД ОС)
26.04 LTS (Ubuntu)
до 2.2.23 (Rack)
от 3.0 до 3.1.21 (Rack)
от 3.2 до 3.2.6 (Rack)
до 4.0.2 (ПК СВ «Брест»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Средство защиты

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Canonical Ltd. Ubuntu 18.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 8
Canonical Ltd. Ubuntu 20.04 LTS
ООО «Ред Софт» РЕД ОС 7.3
Canonical Ltd. Ubuntu 22.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 9
АО «ИВК» АЛЬТ СП 10 -
Canonical Ltd. Ubuntu 24.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 10
Canonical Ltd. Ubuntu 25.10
ООО «Ред Софт» РЕД ОС 8.0
Canonical Ltd. Ubuntu 26.04 LTS
ООО «РусБИТех-Астра» ПК СВ «Брест» до 4.0.2

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Rack:
https://github.com/rack/rack/security/advisories/GHSA-v569-hp3g-36wr
Для Ред ОС:
https://redos.red-soft.ru/search/?iblock_id=&q=CVE-2026-34230
Для Ubuntu:
https://ubuntu.com/security/CVE-2026-34230
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2026-34230
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ПК СВ «Брест»:
обновление программного обеспечения, применение оперативного обновления ПК СВ «Брест» 4.0.2, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 35%
0.0043
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
redos
3 месяца назад

Уязвимость rubygem-rack

CVSS3: 5.3
ubuntu
4 месяца назад

Rack is a modular Ruby web server interface. Prior to versions 2.2.23, 3.1.21, and 3.2.6, Rack::Utils.select_best_encoding processes Accept-Encoding values with quadratic time complexity when the header contains many wildcard (*) entries. Because this method is used by Rack::Deflater to choose a response encoding, an unauthenticated attacker can send a single request with a crafted Accept-Encoding header and cause disproportionate CPU consumption on the compression middleware path. This results in a denial of service condition for applications using Rack::Deflater. This issue has been patched in versions 2.2.23, 3.1.21, and 3.2.6.

CVSS3: 5.3
redhat
4 месяца назад

Rack is a modular Ruby web server interface. Prior to versions 2.2.23, 3.1.21, and 3.2.6, Rack::Utils.select_best_encoding processes Accept-Encoding values with quadratic time complexity when the header contains many wildcard (*) entries. Because this method is used by Rack::Deflater to choose a response encoding, an unauthenticated attacker can send a single request with a crafted Accept-Encoding header and cause disproportionate CPU consumption on the compression middleware path. This results in a denial of service condition for applications using Rack::Deflater. This issue has been patched in versions 2.2.23, 3.1.21, and 3.2.6.

CVSS3: 5.3
nvd
4 месяца назад

Rack is a modular Ruby web server interface. Prior to versions 2.2.23, 3.1.21, and 3.2.6, Rack::Utils.select_best_encoding processes Accept-Encoding values with quadratic time complexity when the header contains many wildcard (*) entries. Because this method is used by Rack::Deflater to choose a response encoding, an unauthenticated attacker can send a single request with a crafted Accept-Encoding header and cause disproportionate CPU consumption on the compression middleware path. This results in a denial of service condition for applications using Rack::Deflater. This issue has been patched in versions 2.2.23, 3.1.21, and 3.2.6.

CVSS3: 5.3
debian
4 месяца назад

Rack is a modular Ruby web server interface. Prior to versions 2.2.23, ...

EPSS

Процентиль: 35%
0.0043
Низкий

7.5 High

CVSS3

7.8 High

CVSS2