Ruby/Rackアプリケーション用の高度な同時HTTPサーバーであるpumaに、いくつかのセキュリティの脆弱性が発見されました。

CVE-2020-11076

無効なtransfer-encodingヘッダーを使用することで、攻撃者がHTTP応答をスマグリングする可能性があります。

CVE-2020-11077

クライアントがプロキシを介してリクエストをスマグリングし、プロキシが応答を別の不明なクライアントに返信する可能性があります。プロキシが永続的な接続を使用し、クライアントがHTTPパイプラインを通じて別のリクエストを追加する場合、プロキシが誤ってそれを最初のリクエストの本文とみなす可能性があります。
ただし、Pumaはこれを2つのリクエストと見なし、2つ目のリクエストを処理するとき、プロキシが予期しない応答を返します。
プロキシがPumaへの永続的な接続を再利用して別のクライアントに別のリクエストを送信した場合、最初のクライアントの2番目の応答が2番目のクライアントに送信されます。

Debian 9「Stretch」では、この問題はバージョン3.6.0-1+deb9u1で修正されています。

お使いのpumaパッケージをアップグレードすることを推奨します。

pumaの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/puma

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2398-1: pumaセキュリティ更新

high Nessus プラグイン ID 141286

バージョン 1.3