Ruby on Rails Action Pack: Denial of Service im ActionController::Live-Streaming

Zusammenfassung

Action Pack, die Komponente von Ruby on Rails für die Verarbeitung von Webanfragen, kann einen Webserver-Thread und den zugehörigen ActionController::Live-Thread blockieren, wenn ein Client das Lesen einer gestreamten Antwort abbricht und die Pufferwarteschlange voll ist. Die Methoden close und abort des Puffers können dabei unbegrenzt auf dieselbe Sperre warten. Jede betroffene Antwort kann dadurch Threads dauerhaft binden. Wiederholte Anfragen können die Threads erschöpfen und einen Denial of Service verursachen. Anwendungen, die ActionController::Live (inklusive send_stream) verwenden, sind betroffen; Anwendungen, die grosse Dateien über den Active Storage Proxy-Modus ausliefern, sind für nicht authentifizierte Clients exponiert.

Betroffen

• rails actionpack >= 8.1, < 8.1.4.1
• rails actionpack < 8.0.5.2
• Rails 7.x und älter: kein Fix veröffentlicht, als ungepatcht behandeln

Behoben in

• actionpack 8.1.4.1
• actionpack 8.0.5.2

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme auf Konfigurationsebene.
• Das Aktualisieren ist die Behebung; die Patch-Commits des Herstellers können angewendet werden, falls ein sofortiges Update nicht möglich ist.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung bekannt.
• Der Hersteller-Advisory nennt automatisierte Entdeckung (Anthropic OSS Scanner) als Quelle.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Rails-Anwendungen und deren Versionen inventarisieren, inklusive Nutzung von ActionController::Live und Active Storage Proxy-Modus.
• Auf 8.1.4.1 aktualisieren; 8.0.5.2 nur als kurzfristige Übergangslösung verwenden, da der Sicherheitssupport für 8.0 am 7. November 2026 endet.
• Internetseitig erreichbare Anwendungen, die Antworten streamen oder Active Storage-Dateien proxyen, priorisieren.
• Migration für Rails-7.x-Anwendungen oder ältere Versionen planen, da dafür kein Fix existiert.
• Thread-Auslastung und Neustartverhalten der Anwendungen auf Anzeichen einer Erschöpfung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-rwvh-fw6r-pwvp github.com
• Rails 8.0.5.2 release github.com
• Rails 8.1.4.1 release github.com
• Patch commit 8.1 (ccbfc09) github.com
• Patch commit 8.0 (27ad18e) github.com
• Rails security release announcement rubyonrails.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:07.