Daniel Knoppel reports :

It was discovered by the SUSE security team that it was possible, in some cases, for clients to overwrite headers set by the server, resulting in a medium level security issue. CVE-2015-7519 has been assigned to this issue.

Affected use-cases :

Header overwriting may occur if all of the following conditions are met :

- Apache integration mode, or standalone+builtin engine without a filtering proxy

- Ruby or Python applications only (Passenger 5); or any application (Passenger 4)

- The app depends on a request header containing a dash (-)

- The header is supposed to be trusted (set by the server)

- The client correctly guesses the header name

This vulnerability has been fixed by filtering out client headers that do not consist of alphanumeric/dash characters (Nginx already did this, so Passenger+Nginx was not affected). If your application depends on headers that don't conform to this, you can add a workaround in Apache specifically for those to convert them to a dash-based format.

agent/Core/Controller/SendRequest.cpp in Phusion Passenger before 4.0.60 and 5.0.x before 5.0.22, when used in Apache integration mode or in standalone mode without a filtering proxy, allows remote attackers to spoof headers passed to applications by using an _ (underscore) character instead of a - (dash) character in an HTTP header, as demonstrated by an X_User header.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Two flaws were discovered in ruby-passenger for Ruby Rails and Rack support that allowed attackers to spoof HTTP headers or exploit a race condition which made privilege escalation under certain conditions possible.

CVE-2015-7519 Remote attackers could spoof headers passed to applications by using an underscore character instead of a dash character in an HTTP header as demonstrated by an X_User header.

CVE-2018-12029 A vulnerability was discovered by the Pulse Security team. It was exploitable only when running a non-standard passenger_instance_registry_dir, via a race condition where after a file was created, there was a window in which it could be replaced with a symlink before it was chowned via the path and not the file descriptor. If the symlink target was to a file which would be executed by root such as root's crontab file, then privilege escalation was possible. This is now mitigated by using fchown().

For Debian 8 'Jessie', these problems have been fixed in version 4.0.53-1+deb8u1.

We recommend that you upgrade your ruby-passenger packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Daniel Knoppel 氏の報告：

クライアントは、サーバーにより設定されたヘッダーを、時として上書きすることができ、その結果、重要度中レベルのセキュリティの問題となることが、SUSE セキュリティチームにより判明しました。CVE-2015-7519 がこの問題に割り当てられました。

影響を受ける使用例：

次のすべての条件が満たされる場合、ヘッダーの上書きが発生します：

- Apache 統合モード、またはフィルター処理中のプロキシのないスタンドアロンでビルトインのエンジン

- Ruby または Python のアプリケーションに限定（Passenger 5）、またはあらゆるアプリケーション（Passenger 4）

- アプリはダッシュ（-）を含むリクエストヘッダーに依存する

- 前提としてヘッダーは信頼できる（サーバーによる設定）

- クライアントが推測するヘッダーの名前は正しい

この脆弱性は、英数字/ダッシュ文字で構成されていないクライアントヘッダーをフィルターで除去することで、修正されています（Nginx はすでに対処済みであり、Passenger+Nginx は影響を受けませんでした）。お使いのアプリケーションがこれに従わないヘッダーに依存している場合、ダッシュベースの形式に変換するこれら専用の回避策を、Apache で追加することができます。

Ruby RailsおよびRackのサポートのruby-passengerに2つの欠陥が発見されました。攻撃者がこれらを利用して、HTTPヘッダーを偽装したり、特定の条件下で権限昇格を可能にする競合状態を悪用したりする可能性があります。

CVE-2015-7519 リモートの攻撃者が、X_Userヘッダーのように、HTTPヘッダーのダッシュ文字ではなくアンダースコア文字を使用することで、アプリケーションに渡されるヘッダーを偽装する可能性があります。

CVE-2018-12029 Pulse Securityチームによって脆弱性が発見されました。これは、ファイルが作成された後、chownが実行される前に、ファイル記述子ではなくパスを介してシンボリックリンクで置換できてしまう場合に、競合状態を介して非標準のpassenger_instance_registry_dirを実行しているときにのみ悪用可能でした。シンボリックリンクのターゲットが、rootのcrontabファイルなどのrootによって実行されるファイルである場合、権限昇格が可能でした。現在、これはfchown()を使用することで緩和されています。

Debian 8「Jessie」では、これらの問題はバージョン4.0.53-1+deb8u1で修正されました。

ruby-passengerパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Daniel Knoppel 報告：

SUSE 安全性團隊發現，在某些情況下，用戶端可能會覆寫伺服器所設定的標頭，進而導致中等層級的安全性問題。CVE-2015-7519 已指派給此問題。

受影響的使用案例：

如果符合以下所有條件，可能會發生標頭覆寫：

- Apache 整合模式，或不含篩選 Proxy 的獨立+內建引擎

- 僅限 Ruby 或 Python 應用程式 (Passenger 5)；或任何應用程式 (Passenger 4)

- 應用程式與包含破折號 (-) 的要求標頭相依

- 標頭應該受到信任 (由伺服器設定)

- 用戶端猜對標頭名稱

此弱點已經透過篩選出不包含英數字元/破折號字元的用戶端標頭來修正 (Nginx 已經進行過篩選，因此 Passenger+Nginx 不會受到影響)。如果您的應用程式與不符合此格式的標頭相依，您可以在 Apache 中，特別針對這些標頭新增因應措施，就可以將它們轉換為以破折號為基礎的格式。

4.0.60 之前與 5.0.22 之前 5.0.x 版 Phusion Passenger 中的 agent/Core/Controller/SendRequest.cpp，在 Apache 整合模式或不含篩選 Proxy 的獨立模式下使用時，允許遠端攻擊者透過在 HTTP 標頭中使用 _ (底線) 字元而非 - (虛線) 字元，偽造傳送至應用程式的標頭；X_User 標頭即為一例。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

4.0.60 より前および 5.0.22 より前の 5.0.x の Phusion Passenger の agent/Core/Controller/SendRequest.cpp により、Apache 統合モードまたはフィルタリングプロキシのないスタンドアロンモードで使用された場合、リモートの攻撃者が、HTTP ヘッダーで _（アンダースコア）文字を -（ダッシュ）文字の代わりに使用することで、アプリケーションに渡されるヘッダーを偽装する可能性があります。これは、X_User ヘッダーで実証されています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Ruby Rails 和 Rack 支持的 ruby-passenger 中发现两个缺陷，可让攻击者伪造 HTTP 标头或利用争用条件在特定条件下造成权限提升。CVE-2015-7519 远程攻击者可能会使用下划线字符代替 HTTP 标头中的短划线字符，从而伪造传递到应用程序的标头，这一点已由 X_User 标头证实。CVE-2018-12029 Pulse Security 团队发现一个漏洞。文件创建后存在一个窗口期，在文件通过路径而非文件描述符改变所有者之前，可以替换为符号链接，只有通过此时的争用条件，在运行非标准的 passenger_instance_registry_dir 时，才可能利用此漏洞。如果符号链接的目标是 root 的执行文件，如 root 的 crontab 文件，那么就可能会造成权限提升。此问题现已使用 fchown() 来缓解。对于 Debian 8“Jessie”，这些问题已在 4.0.53-1~deb8u1 版本中修复。建议您升级 ruby-passenger 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Daniel Knoppel 报告：

SUSE 安全团队已发现，在某些情况下，客户端可以覆盖服务器设置的标头，从而导致中危级别的安全问题。已为此问题分配了 CVE-2015-7519。

受影响的用例：

如果满足以下所有条件，则可能发生标头覆盖：

- Apache 集成模式，或不带过滤代理的独立+内置引擎

- 仅限 Ruby 或 Python 应用程序 (Passenger 5)；或任何应用程序 (Passenger 4)

- 应用取决于包含破折号 (-) 的请求标头

- 假设标头可信（由服务器设置）

- 客户端正确猜出标头名称

通过过滤掉不包含字母数字/破折号字符的客户端标头，此漏洞已得到修复（Nginx 已实现这一点，因此 Passenger+Nginx 不受影响）。如果应用程序取决于不符合此要求的标头，可以在 Apache 中添加一种变通方案，专门用于将这些标头转换成基于破折号的格式。

在低于 4.0.60 的 Phusion Passenger 和低于 5.0.22 的 5.0.x 版 Phusion Passenger 中，agent/Core/Controller/SendRequest.cpp 在 Apache 集成模式或不含筛选 Proxy 的独立模式下使用时，允许远程攻击者通过在 HTTP 标头中使用 _（下划线）字符而非 -（破折号）字符，欺骗传送到应用程序的标头，如 X_User 标头所示范。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 Ruby Rails 和 Rack 支援的 ruby-passenger 中發現兩個缺陷，可讓攻擊者偽造 HTTP 標頭或惡意利用爭用情形，進而在某些狀況下導致權限提升。CVE-2015-7519 遠端攻擊者可在 HTTP 標頭中使用底線字元而非虛線字元，以偽造傳遞給應用程式的標頭，如 X_User 標頭中所示。CVE-2018-12029 Pulse Security 團隊發現一個弱點。只有在執行非標準 passenger_instance_registry_dir 時，才可以透過爭用情形來惡意利用此弱點，在爭用情形下，在建立檔案之後，會出現一個視窗，在該視窗中可以用符號連結取代該檔案，然後再透過路徑而不是檔案描述元對其進行變更。如果符號連結目標是將由 root 執行的檔案 (例如 root 的 crontab 檔案)，則可能發生特權提升。現可使用 fchown() 來緩解此問題。針對 Debian 8「Jessie」，這些問題已在 4.0.53-1~deb8u1 版本中修正。建議您升級 ruby-passenger 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
87226	FreeBSD : passenger -- client controlled header overwriting (84fdd1bb-9d37-11e5-8f5c-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/12/8	2021/1/6	low
87978	Debian DLA-394-1 : passenger security update	Nessus	Debian Local Security Checks	2016/1/19	2021/1/11	low
110725	Debian DLA-1399-1 : ruby-passenger security update	Nessus	Debian Local Security Checks	2018/6/28	2024/9/13	high
87226	FreeBSD：passenger -- クライアントのコントロールによるヘッダーの上書き（84fdd1bb-9d37-11e5-8f5c-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/12/8	2021/1/6	low
110725	Debian DLA-1399-1: ruby-passengerのセキュリティ更新	Nessus	Debian Local Security Checks	2018/6/28	2024/9/13	high
87226	FreeBSD：passenger -- 用戶端控制的標頭覆寫 (84fdd1bb-9d37-11e5-8f5c-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/12/8	2021/1/6	low
87978	Debian DLA-394-1：passenger 安全性更新	Nessus	Debian Local Security Checks	2016/1/19	2021/1/11	low
87978	Debian DLA-394-1：passenger セキュリティ更新	Nessus	Debian Local Security Checks	2016/1/19	2021/1/11	low
110725	Debian DLA-1399-1：ruby-passenger 安全更新	Nessus	Debian Local Security Checks	2018/6/28	2024/9/13	high
87226	FreeBSD：passenger -- 受客户端控制的标头覆盖 (84fdd1bb-9d37-11e5-8f5c-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/12/8	2021/1/6	low
87978	Debian DLA-394-1：passenger 安全更新	Nessus	Debian Local Security Checks	2016/1/19	2021/1/11	low
110725	Debian DLA-1399-1：ruby-passenger 安全性更新	Nessus	Debian Local Security Checks	2018/6/28	2024/9/13	high

検出

プラグインの検索

low

low

high

low

high

low

low

low

high

low

low

high