CVE-2024-47889
CVE-2024-47889 · Action Mailer has possible ReDoS vulnerability in block_format
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Action Mailer is a framework for designing email service layers. Starting in version 3.0.0 and prior to versions 6.1.7.9, 7.0.8.5, 7.1.4.1, and 7.2.1.1, there is a possible ReDoS vulnerability in the block_format helper in Action Mailer. Carefully crafted text can cause the block_format helper to take an unexpected amount of time, possibly resulting in a DoS vulnerability. All users running an affected release should either upgrade to versions 6.1.7.9, 7.0.8.5, 7.1.4.1, or 7.2.1.1 or apply the relevant patch immediately. As a workaround, users can avoid calling the `block_format` helper or upgrade to Ruby 3.2. Ruby 3.2 has mitigations for this problem, so Rails applications using Ruby 3.2 or newer are unaffected. Rails 8.0.0.beta1 requires Ruby 3.2 or greater so is unaffected.
CVSS 6.6 · Moyenne · EPSS 0,9% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
rails
- Versions du logiciel
- >= 3.0.0, < 6.1.7.9: Concernée
- >= 7.0.0, < 7.0.8.5: Concernée
- >= 7.1.0, < 7.1.4.1: Concernée
- >= 7.2.0, < 7.2.1.1: Concernée
Aucun correctif publié
rails Debian:12
- Versions du logiciel
- 2:6.1.7.3+dfsg-1
- 2:6.1.7.3+dfsg-10
- 2:6.1.7.3+dfsg-11
- 2:6.1.7.3+dfsg-12
- 2:6.1.7.3+dfsg-13
- 2:6.1.7.3+dfsg-2
- 2:6.1.7.3+dfsg-2~deb12u1
- 2:6.1.7.3+dfsg-3
- 2:6.1.7.3+dfsg-4
- 2:6.1.7.3+dfsg-5
- 2:6.1.7.3+dfsg-6
- 2:6.1.7.3+dfsg-7
- 2:6.1.7.3+dfsg-7~exp1
- 2:6.1.7.3+dfsg-8
- 2:6.1.7.3+dfsg-9
- Plages de versions concernées
- ECOSYSTEM: < 2:6.1.7.10+dfsg-1~deb12u1
Mettez à jour vers 2:6.1.7.10+dfsg-1~deb12u1
rails Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 2:7.2.2.1+dfsg-1
Mettez à jour vers 2:7.2.2.1+dfsg-1
rails Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 2:7.2.2.1+dfsg-1
Mettez à jour vers 2:7.2.2.1+dfsg-1
rails Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 2:4.1.10-1
- 2:4.2.5-1
- 2:4.2.5.1-1
- 2:4.2.5.2-2
- 2:4.2.6-1
- Plages de versions concernées
- ECOSYSTEM: < 2:4.2.6-1ubuntu0.1~esm1
Mettez à jour vers 2:4.2.6-1ubuntu0.1~esm1
rails Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 2:4.2.9-2
- 2:4.2.9-4
- 2:4.2.10-0ubuntu4
- Plages de versions concernées
- ECOSYSTEM: < 2:4.2.10-0ubuntu4+esm1
Mettez à jour vers 2:4.2.10-0ubuntu4+esm1
rails Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 2:5.2.2.1+dfsg-1ubuntu1
- 2:5.2.3+dfsg-3
- Plages de versions concernées
- ECOSYSTEM: < 2:5.2.3+dfsg-3ubuntu0.1~esm1
Mettez à jour vers 2:5.2.3+dfsg-3ubuntu0.1~esm1
rails Ubuntu:Pro:22.04:LTS
- Versions du logiciel
- 2:6.0.3.7+dfsg-2
- 2:6.1.4.1+dfsg-8ubuntu2
- Plages de versions concernées
- ECOSYSTEM: < 2:6.1.4.1+dfsg-8ubuntu2+esm1
Mettez à jour vers 2:6.1.4.1+dfsg-8ubuntu2+esm1
rails Ubuntu:24.04:LTS
- Versions du logiciel
- 2:6.1.7.3+dfsg-2build1
- 2:6.1.7.3+dfsg-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
rails Ubuntu:25.10
- Versions du logiciel
- 2:6.1.7.3+dfsg-7
- 2:7.2.2.1+dfsg-7
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
rails Ubuntu:26.10
- Versions du logiciel
- 2:7.2.3+dfsg-2
- 2:7.2.3.2+dfsg-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
rails Ubuntu:26.04:LTS
- Versions du logiciel
- 2:7.2.2.1+dfsg-7
- 2:7.2.2.2+dfsg-2
- 2:7.2.3+dfsg-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
Sources originales
- https://github.com/rails/rails/security/advisories/GHSA-h47h-mwp9-c6q6
- https://github.com/rails/rails/commit/0e5694f4d32544532d2301a9b4084eacb6986e94
- https://github.com/rails/rails/commit/3612e3eb3fbafed4f85e1c6ea4c7b6addbb0fdd3
- https://github.com/rails/rails/commit/985f1923fa62806ff676e41de67c3b4552131ab9
- https://github.com/rails/rails/commit/be898cc996986decfe238341d96b2a6573b8fd2e
- https://nvd.nist.gov/vuln/detail/CVE-2024-47889