注目★★★★★GitHub Advisory
Puma CVE-2026-47736：PROXY Protocol v1 でメモリ枯渇の脆弱性
30秒で把握
- 1Puma CVE-2026-47736：PROXY Protocol v1 でメモリ枯渇・OOM が可能
- 2修正版は 7.2.1 / 8.0.2・非デフォルト設定利用時のみ影響あり
- 3回避策：v1 設定削除またはファイアウォールで接続元を制限
要約
Puma の PROXY Protocol v1 パーサーに無制限メモリ消費の脆弱性 CVE-2026-47736 が確認された。CRLF を送らない TCP 接続を維持し続けることで、内部バッファが無限に増大し、プロセスの OOM やサービス低下を引き起こせる。影響を受けるのは `set_remote_address proxy_protocol: :v1` を設定した非デフォルト構成のみで、認証不要の単一接続で攻撃可能。修正版は 7.2.1 または 8.0.2 で提供済み。回避策として PROXY Protocol v1 を無効化するか、ファイアウォールで Puma リスナーへの直接アクセスを信頼済みロードバランサーのみに制限できる。
あなたへの影響
Puma で `proxy_protocol: :v1` を設定しているチームは 7.2.1 または 8.0.2 への即時アップグレードを。
推奨：設定していない環境は影響を受けないため、まず設定ファイルを確認する程度で良い。