CVE-2024-45614
中公開済み
ヘッダー正規化により、クライアントがPumaのプロキシ設定ヘッダーを上書きできる
- 公開済み
- 2024/09/19
- 更新済み
- 2025/11/03
- CNA の割り当て
- GitHub_M
- 観察された証拠
- 2026/08/08
プライマリ CVSS
5.4/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N0.6%
低 · 今後 30 日間
- パーセンタイル
- 49.6%
- モデルの日付
- 2026/10/17
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Pumaは、並列処理向けに設計されたRuby/Rackウェブサーバーです。影響を受けるバージョンでは、クライアントが中間プロキシ（X-Forwarded-Forなど）によって設定された値を、同じヘッダーのアンダースコア版（X-Forwarded_For）を提供することで上書きできてしまう可能性がありました。プロキシ設定変数に依存しているユーザーはすべて影響を受けます。v6.4.3/v5.6.9では、アンダースコアを使用したヘッダーが、非アンダースコア版も存在する場合に破棄されるようになりました。これにより、プロキシ定義のヘッダーが常に優先されるようになります。ユーザーはアップグレードすることをお勧めします。Nginxには、プロキシレベルでこれらのヘッダーを破棄するための`underscores_in_headers`設定変数があり、緩和策として利用できます。セキュリティのためにプロキシ定義のヘッダーを暗黙的に信頼しているユーザーは、修正版にアップグレードするまで直ちにその行為を中止してください。
ソース
Puma ヘッダーの正規化 CVE-2024-45614 確認
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。