リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:1515-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Puma は、Ruby/Rack アプリケーション用の同時 HTTP 1.1 サーバーです。CVE-2019-16770 の修正は不完全でした。元の修正は、すでに受け入れられている既存の接続のみを保護し、貪欲な永続的接続が同じプロセスのすべてのスレッドを飽和させてリクエストを枯渇させないようにしていました。
    ただし、新しい接続は、クラスター内のすべてのプロセスのすべてのスレッドを飽和させる貪欲な持続的接続によって、依然として不足する可能性があります。スレッドプールにスレッドがあるスレッドよりも多くの「keep-alive」接続を同時に受信した「puma」サーバーは、接続のサブセットのみを処理し、サービスされていない接続へのサービスを拒否します。この問題は「puma」4.3.8 および 5.3.1 で修正されています。「queue_requests false」を設定すると、この問題も修正されます。「nginx」や「apache」などのリバースプロキシなしで「puma」を使用する場合、これはお勧めできません。スロークライアント攻撃 (例: slowloris) にさらされるからです。修正は非常に小規模です。サポートされていないバージョンの Puma を使用している場合は、git パッチを使用できます。(CVE-2021-29509)

  - Puma は、Ruby/Rack アプリケーション用の HTTP 1.1 サーバーです。バージョン 5.5.1 および 4.3.9より前では、LF 文字を含む HTTP ヘッダー値を転送するプロキシで「puma」を使用すると、HTTP リクエストのスマグリングが発生する可能性があります。クライアントがプロキシを介してリクエストをスマグリングし、プロキシが応答を別の不明なクライアントに返信する可能性があります。Puma チームが認識している限り、この動作をする唯一のプロキシは Apache Traffic Server です。プロキシが永続的な接続を使用し、クライアントが HTTP パイプラインを通じて別のリクエストを追加する場合、プロキシが誤ってそれを最初のリクエストの本文とみなす可能性があります。ただし、Puma はこれを 2 つのリクエストと見なし、2 つ目のリクエストを処理するとき、プロキシが予期しない応答を返します。プロキシが Puma への永続的な接続を再利用して別のクライアントに別のリクエストを送信した場合、最初のクライアントの 2 番目の応答が 2 番目のクライアントに送信されます。この脆弱性は、Puma 5.5.1 および 4.3.9 でパッチが適用されました。回避策として、「puma」で Apache Traffic Server を使用しないでください。(CVE-2021-41136)

  - Puma は、並列処理のために構築された Ruby/Rack Web サーバーです。「puma」バージョン「5.6.2」より前では、「puma」が応答本文で「close」を呼び出さないときがあります。バージョン「7.0.2.2」より前の Rails では、「CurrentAttributes」実装の正しい機能は閉じられている応答本文に依存していました。これら 2 つの動作の組み合わせ (Puma が本文を閉じない + Rails の Executor 実装) により、情報漏洩が発生します。この問題は Puma バージョン 5.6.2 および 4.3.11 で修正されています。この問題は Rails バージョン 7.02.2、6.1.4.6、6.0.4.6、および 5.2.6.2 で修正されています。パッチを適用した Rails _or_ Puma バージョンにアップグレードすると、この脆弱性が修正されます。(CVE-2022-23634)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES15 / openSUSE 15 セキュリティ更新: rubygem-puma (SUSE-SU-2022:1515-1)

medium Nessus プラグイン ID 160523

バージョン 1.9