Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-47737 high CVSS 7.5

Vulnérabilité dans puma (CVE-2026-47737)

Résumé

Vulnérabilité dans puma (CVE-2026-47737). Les données peuvent être altérées par des attaquants. Exploitable via REMOTE_ADDR. Atténuation : mise à jour vers 7.2.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

Puma is vulnerable to source IP spoofing when set_remote_address proxy_protocol: :v1 is enabled and persistent connections are used.

PROXY protocol v1 is a connection-level protocol. Support was added to Puma in v5.5.0. A proxy sends one PROXY header at the beginning of a TCP connection, before any HTTP data. Puma incorrectly re-parsed PROXY protocol headers after each keep-alive request on the same connection. An attacker able to send HTTP requests through a trusted proxy could therefore inject a second PROXY header between HTTP requests. Puma would treat the injected header as authoritative for the next request and overwrite REMOTE_ADDR.

This can mislead applications or middleware that use REMOTE_ADDR for security decisions, rate limiting, auditing, or allow/deny lists.

Only deployments that explicitly enable PROXY protocol v1 are affected, and will have set:

set_remote_address proxy_protocol: :v1

Puma's default configuration is not affected. Deployments that do not use persistent connections to Puma are also not expected to be affected by this issue.

Patches

Users should upgrade to versions 7.2.1 or 8.0.2.

Workarounds

Disable PROXY protocol v1 parsing if it is not required:

  # remove/comment this:
  # set_remote_address proxy_protocol: :v1

Users can also disable persistent connections to Puma, for example:

enable_keep_alives false

References…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-47737 a été découverte dans puma.
Des attaquants peuvent cibler un point d'entrée spécifique comme REMOTE_ADDR à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 7.5/10.
Action : mettez à jour puma vers 7.2.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « puma CVE-2026-47737 » sur le site de l'éditeur.

CVE-2026-47737 (puma) — CWE-290 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : REMOTE_ADDR / set_remote_address
Correctif : 7.2.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-290) affecte puma. Les attaquants atteignent le code vulnérable via REMOTE_ADDR sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de puma. Surface d'attaque : REMOTE_ADDR / set_remote_address.

🔥 Gravité

Gravité : Élevée (CVSS 7.5/10). Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 7.2.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'puma' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で puma を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade puma to 7.2.1

    ステージング環境で 7.2.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

rubygems puma
[{"type":"ECOSYSTEM","events":[{"introduced":"5.5.0"},{"fixed":"7.2.1"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus