一、 漏洞 CVE-2024-45614 基础信息
漏洞标题
Puma存在头部信息规范化漏洞
来源：AIGC 神龙大模型
漏洞描述信息
Puma 是一款为并行处理设计的 Ruby/Rack 网络服务器。在受影响的版本中，客户端通过提供带有下划线的相同头部（如将 X-Forwarded-For 修改为 X-Forwarded_For），可以覆盖中间代理设置的值（例如 X-Forwarded-For）。任何依赖代理设置变量的用户都会受到影响。v6.4.3/v5.6.9 版本现在会丢弃任何使用下划线的头部，如果非下划线版本也存在的话。实际上，这使得代理定义的头部始终优先。建议用户进行升级。Nginx 提供了 underscores_in_headers 配置变量，可以在代理级别丢弃这些头部作为缓解措施。任何隐式信任代理定义头部进行安全操作的用户，应立即停止这样做，直到升级到修复版本为止。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N
来源：AIGC 神龙大模型
漏洞类别
输入验证不恰当
来源：AIGC 神龙大模型
漏洞标题
Header normalization allows for client to clobber proxy set headers in Puma
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Puma is a Ruby/Rack web server built for parallelism. In affected versions clients could clobber values set by intermediate proxies (such as X-Forwarded-For) by providing a underscore version of the same header (X-Forwarded_For). Any users relying on proxy set variables is affected. v6.4.3/v5.6.9 now discards any headers using underscores if the non-underscore version also exists. Effectively, allowing the proxy defined headers to always win. Users are advised to upgrade. Nginx has a underscores_in_headers configuration variable to discard these headers at the proxy level as a mitigation. Any users that are implicitly trusting the proxy defined headers for security should immediately cease doing so until upgraded to the fixed versions.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
通过用户控制密钥绕过授权机制
来源：美国国家漏洞数据库 NVD
漏洞标题
Puma 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Puma是美国Evan Phoenix个人开发者的一款针对高并发应用的Web服务器。 Puma 6.4.3之前版本存在安全漏洞，该漏洞源于客户端可以通过提供带下划线的同名标头来覆盖中间代理设置的值。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-45614 的公开POC
# POC 描述 源链接 神龙链接
1 Puma Header normalization CVE-2024-45614 確認 https://github.com/ooooooo-q/puma_header_normalization-CVE-2024-45614 POC详情
三、漏洞 CVE-2024-45614 的情报信息