NVD / CVE Programı· CNA GitHub_M

CVE-2024-45614: Header normalization allows for client to clobber proxy set headers in Puma

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 21/100)

Herkese açık kavram kanıtı (PoC) kodu var (GitHub); sahada sömürüldüğüne dair kayıt yok.
Önümüzdeki 30 günde sömürülme olasılığı %0,64 (FIRST EPSS); kayıtların %50,6 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
Düzeltilmiş sürüm: puma (Debian:11) 4.3.8-1+deb11u3; puma (Debian:12) 5.6.5-3+deb12u1; puma (Debian:13) 6.4.3-1.

Şimdilik düşük öncelik. puma (Debian:11) 4.3.8-1+deb11u3; puma (Debian:12) 5.6.5-3+deb12u1; puma (Debian:13) 6.4.3-1 ya da daha yeni sürüme yükseltin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

Puma is a Ruby/Rack web server built for parallelism. In affected versions clients could clobber values set by intermediate proxies (such as X-Forwarded-For) by providing a underscore version of the same header (X-Forwarded_For). Any users relying on proxy set variables is affected. v6.4.3/v5.6.9 now discards any headers using underscores if the non-underscore version also exists. Effectively, allowing the proxy defined headers to always win. Users are advised to upgrade. Nginx has a underscores_in_headers configuration variable to discard these headers at the proxy level as a mitigation. Any users that are implicitly trusting the proxy defined headers for security should immediately cease doing so until upgraded to the fixed versions.

OrtaCVSS 5.4 · v3.1—Kavram kanıtı Düzeltme var

Yayın: 19 Eyl 2024
Güncelleme: 17 Haz 2026
EPSS: %0,6 · 50. yüzdelik
CWE: CWE-639

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 21 / 40 · 5.4 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 0 / 30 · %0,6

CISA SSVC kararı

Sömürü: yok
Otomatikleştirilebilir: hayır
Teknik etki: kısmi

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: 5,4
CNA · GitHub_M: 5,4; uyumlu

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Bu kayıt değişirse haber alın

KEV'de değil: sahada sömürü kaydı yok
Kavram kanıtı var, silahlaştırılmış modül yok
Düzeltme yayımlandı

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
puma	puma	cpe:2.3:a:puma:puma

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

puma puma5.6.9 öncesi
puma puma6.0.0 ve sonrası · 6.4.3 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

puma puma
- >= 6.0.0, < 6.4.3, < 5.6.9etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Ekosistem	Paket	Etkilenen aralık	Düzeltme
Debian:11	puma	4.3.8-1+deb11u3 öncesi	4.3.8-1+deb11u3
Debian:12	puma	5.6.5-3+deb12u1 öncesi	5.6.5-3+deb12u1
Debian:13	puma	6.4.3-1 öncesi	6.4.3-1
openSUSE:Leap 15.5	rubygem-puma	4.3.12-150000.3.15.1 öncesi	4.3.12-150000.3.15.1
openSUSE:Leap 15.6	rubygem-puma	5.6.9-150600.18.3.1 öncesi	5.6.9-150600.18.3.1
openSUSE:Tumbleweed	rubygem-puma	6.4.3-1.3 öncesi	6.4.3-1.3
openSUSE:Tumbleweed	rubygem-puma	6.4.3-1.1 öncesi	6.4.3-1.1
openSUSE:Tumbleweed	rubygem-puma	6.4.3-1.5 öncesi	6.4.3-1.5
RubyGems	puma	6.0.0 itibarıyla · 6.4.3 öncesi	6.4.3
RubyGems	puma	5.6.9 öncesi	5.6.9
SUSE:Linux Enterprise High Availability Extension 15 SP2	rubygem-puma	4.3.12-150000.3.15.1 öncesi	4.3.12-150000.3.15.1
SUSE:Linux Enterprise High Availability Extension 15 SP3	rubygem-puma	5.6.9-150000.3.18.1 öncesi	5.6.9-150000.3.18.1
SUSE:Linux Enterprise High Availability Extension 15 SP6	rubygem-puma	5.6.9-150600.18.3.1 öncesi	5.6.9-150600.18.3.1

Aynı üründe

puma: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2023-40175Inconsistent Interpretation of HTTP Requests in puma
39İzleyin
CVE-2022-24790HTTP Request Smuggling in puma
31İzleyin
CVE-2020-11077HTTP Smuggling via Transfer-Encoding Header in Puma
31İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2022-2363411 Şub 2022 · Information Exposure when using Puma with Rails
24İzleyin
← ÖncekiCVE-2024-216478 Oca 2024 · HTTP Request/Response Smuggling in puma
30İzleyin
Sonraki →CVE-2026-4773614 Tem 2026 · Puma PROXY Protocol v1 Parser Allows Remote Memory Exhaustion
30İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Ürün / paket	Düzeltilmiş sürüm	Kaynak
debian:puma	5.6.5-3+deb12u1 · Debian:12	Paket deposu (OSV)
opensuse:rubygem-puma	4.3.12-150000.3.15.1 · openSUSE:Leap 15.5	Paket deposu (OSV)
RubyGems:puma	5.6.9	Paket deposu (OSV)
RubyGems:puma	6.4.3	Paket deposu (OSV)
suse:rubygem-puma	4.3.12-150000.3.15.1 · SUSE:Linux Enterprise High Availability Extension 15 SP2	Paket deposu (OSV)

İstismar durumu

Kavram kanıtı mevcut

Kamuya açık bir kavram kanıtı ya da tespit imzası var. İstismar bilgisi dışarıda; yamayı geciktirmeyin.

Kanıt

GitHub’da kavram kanıtı deposu ×1

Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.

Kamuya açık istismar kanıtı
Kaynak	Tür	Tarih
GitHub’da kavram kanıtı deposu	stars:0	2024-09-28

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın19 Eyl 2024
İlk kavram kanıtı28 Eyl 2024+8 gün
Bugün31 Eki 2026+772 gün

Henüz geçmiş yok (kayıt günlük EPSS işiyle birikir).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.

CNA kaydında kredi yok.

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

Gece hesaplanan ilişki yok.

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

—

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Zamanlama ya da yapılandırma gibi özel koşullar gerekir.

Başarılı olursa

Gizlilik: düşük · veriler okunabilir
Bütünlük: düşük · veri ya da yapılandırma değiştirilebilir
Erişilebilirlik: yok

Etki, zafiyetli bileşenin ötesine geçebilir (kapsam değişir).

Saldırı vektörü: Ağ
Karmaşıklık: Yüksek
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişir
Gizlilik etkisi: Düşük
Bütünlük etkisi: Düşük
Erişilebilirlik etkisi: Yok

Zayıflık sınıfı (CWE)

CWE-639 · Authorization Bypass Through User-Controlled Key

CVSS vektörü

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N

nvd-primary

Kök neden

Uç nokta kaydı istekte gelen kimlikle getiriyor, ama kaydın isteyen kullanıcıya ait olup olmadığını sormuyor.

Hatanın kod karşılığı

CWE-639 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1const invoice = await Invoice.findById(req.params.id);
2res.json(invoice);

Düzeltilmiş

1const invoice = await Invoice.findOne({
2  id: req.params.id,
3  ownerId: req.user.id,
4});
5if (!invoice) return res.sendStatus(404);
6res.json(invoice);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.

Değişiklik günlüğü

Düzeltme✗ → ✓28 Eyl 2026 22:46 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

github.com/puma/puma/security/advisories/GHSA-9hf4-67fc-4vf4

Tüm referansları göster (2 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Bu ürünü kullanıyoruz, yardım isteyin

Veri kaynakları ve doğrulama

CNA: GitHub_M

CVE.org (CNA)3 Kas 2025 22:15 UTC
CISA ADP3 Kas 2025 22:15 UTC
NVD17 Haz 2026 03:54 UTC
FIRST EPSS30 Eki 2026 00:00 UTC
OSV / GHSA31 Eki 2026 03:18 UTC
PoC-in-GitHub31 Eki 2026 03:18 UTC

Her satır, o kaynağın bu kayıt için son işlendiği zamandır.