注目★★★★★GitHub Advisory
Puma v7.2.1/8.0.2 パッチ：PROXY Protocol v1 でIP偽装の脆弱性
30秒で把握
- 1CVE-2026-47737：Puma PROXY Protocol v1でIP偽装が可能な脆弱性
- 2修正版は7.2.1・8.0.2、暫定はkeep-alive無効化で回避可能
- 3v1明示有効+持続接続の環境のみ影響・デフォルト構成は対象外
要約
PumaにPROXY Protocol v1（`set_remote_address proxy_protocol: :v1`）使用時にソースIPが偽装される脆弱性（CVE-2026-47737）が確認された。持続的接続（keep-alive）上でPROXYヘッダーを再パースする実装の誤りにより、攻撃者が信頼済みプロキシ経由でリクエスト間に偽造ヘッダーを挿入し`REMOTE_ADDR`を上書きできる。レート制限・アクセス制御・監査など`REMOTE_ADDR`を判断に使うアプリやミドルウェアが影響を受ける。修正済みバージョン7.2.1または8.0.2へのアップグレード、あるいは`enable_keep_alives false`で永続接続を無効化することで回避可能。
あなたへの影響
PROXY Protocol v1を明示的に有効化しているPuma環境のみ影響を受ける。デフォルト構成や永続接続を使わない環境は影響なし。
推奨：該当チームは7.2.1または8.0.2への更新を確認し、即時適用が難しい場合は`enable_keep_alives false`を暫定対処として設定すること。