Crass: Denial of Service über übergrosse numerische Exponenten in CSS
Zusammenfassung
Crass, ein CSS-Parser für Ruby, verarbeitet numerische Exponenten in CSS-Werten ohne sie vorher zu begrenzen, bevor das Ergebnis auf Float::MAX gekürzt wird. Ein Angreifer, der einer Anwendung CSS-Zeichenketten übergeben kann, die Crass parst, kann mit einer sehr kleinen Eingabe übermässige CPU- und Speicherauslastung erzwingen, was zu einem Absturz führen kann. Der Hersteller beschreibt dies als Denial of Service; eine Auswirkung auf Vertraulichkeit oder Integrität wird nicht angegeben.
Betroffen
- Crass-Versionen vor 1.0.7
Behoben in
- Crass 1.0.7 (begrenzt Exponenten, bevor 10**exponent berechnet wird)
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Das Aktualisieren auf 1.0.7 ist die Behebung.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
Unsere Empfehlung
- Ermitteln Sie Ruby-Anwendungen, die Crass direkt oder indirekt verwenden (zum Beispiel über loofah oder rails-html-sanitizer), und prüfen Sie deren Gemfile.lock.
- Aktualisieren Sie crass auf 1.0.7 oder neuer und rollen Sie betroffene Anwendungen neu aus.
- Falls ein sofortiges Update nicht möglich ist, begrenzen Sie die Grösse der akzeptierten CSS- und HTML-Eingaben und setzen Sie Rate-Limits auf Endpunkte, die diese entgegennehmen.
- Prüfen Sie Linux-Distributionspakete (ruby-crass) auf korrigierte Versionen, da der Status von Backports unbekannt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6wmf-3r64-vcwv (vendor) github.com
- Crass v1.0.7 release github.com
- Fix commit ea6726b github.com
- GitHub Advisory Database GHSA-6wmf-3r64-vcwv github.com
- OSV GHSA-6wmf-3r64-vcwv osv.dev
- RubySec advisory GHSA-6wmf-3r64-vcwv rubysec.com
- GitLab advisory database CVE-2026-61845 advisories.gitlab.com
- Debian CVE entry (vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.