CVE-2026-47737
Puma PROXY Protocol v1 Accepts Repeated Protocol Headers on Persistent Connections
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 7.2.1, 8.0.2
Обновить сервер Puma до версий 7.2.1 или 8.0.2.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Подмена IP-адреса клиента в Puma из-за повторной обработки заголовков PROXY v1 на постоянных соединениях.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При включенной опции set_remote_address proxy_protocol: :v1 сервер Puma заново парсит PROXY-заголовок для каждого keep-alive запроса.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Спуфинг исходного IP-адреса: злоумышленник перезаписывает значение REMOTE_ADDR, обходя ограничения по IP и механизмы аудита.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
pumapuma
>= 5.5.0➔Fix: 7.2.1
pumapuma
>= 8.0.0➔Fix: 8.0.2
——
>= 8.0.0➔Fix: 8.0.2
——
>= 5.5.0➔Fix: 7.2.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/puma/puma/security/advisories/GHSA-2vqw-3mp8-cgmx
- github.comhttps://github.com/puma/puma/pull/3944
- github.comhttps://github.com/puma/puma/pull/3947
- github.comhttps://github.com/puma/puma/commit/439c6136d9c2275721b7864db3ee78af7c80889f
- github.comhttps://github.com/puma/puma/commit/ebe9db3929ab8299d19c8f5b41e8ef4f4b22fa58
- github.comhttps://github.com/puma/puma/releases/tag/v7.2.1
- github.comhttps://github.com/puma/puma/releases/tag/v8.0.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-47737: Puma PROXY Protocol v1 Accepts Repeated Protocol Headers on Persistent Connections. URL: https://cve.futuretools.ru/cve/CVE-2026-47737
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_47737,
title = {{CVE-2026-47737: Puma PROXY Protocol v1 Accepts Repeated Protocol Headers on Persistent Connections}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-47737}},
note = {Оперативный инженерный анализ киберугроз}
}