Debian DLA-2392-1: jrubyセキュリティ更新

high Nessus プラグイン ID 141134

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

WEBrickの潜在的なHTTPリクエストスマグリングの脆弱性が報告されました。

WEBrick（jrubyにバンドル済み）は、無効なTransfer-Encodingヘッダーに対する許容度が高すぎました。これにより、WEBrickと一部のHTTPプロキシサーバーの間で解釈の一貫性が失われる可能性があり、攻撃者がリクエストを「スマグリング」する可能性があります。

Debian 9「Stretch」では、この問題はバージョン1.7.26-1+deb9u3で修正されています。

お使いのjrubyパッケージをアップグレードすることを推奨します。

jrubyの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/jruby

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。