CVE-2024-45614
La normalización de cabeceras permite al cliente sobrescribir las cabeceras establecidas por el proxy en Puma
- Publicado
- 19 sept 2024
- Actualizado
- 3 nov 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:NBajo · próximos 30 días
- Percentil
- 48,9 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Puma es un servidor web Ruby/Rack creado para el paralelismo. En las versiones afectadas, los clientes podían alterar los valores establecidos por los servidores proxy intermedios (como X-Forwarded-For) al proporcionar una versión con guiones bajos del mismo encabezado (X-Forwarded_For). Todos los usuarios que dependan de las variables establecidas por el proxy se ven afectados. v6.4.3/v5.6.9 ahora descarta cualquier encabezado que utilice guiones bajos si también existe la versión sin guiones bajos. De hecho, permite que los encabezados definidos por el proxy siempre prevalezcan. Se recomienda a los usuarios que actualicen. Nginx tiene una variable de configuración underscores_in_headers para descartar estos encabezados a nivel de proxy como mitigación. Todos los usuarios que confíen implícitamente en los encabezados definidos por el proxy por razones de seguridad deben dejar de hacerlo de inmediato hasta que se actualicen a las versiones corregidas.
Fuentes
1Puma Normalización de cabeceras CVE-2024-45614 Verificación
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.