Debian DLA-2398-1：puma 安全性更新

high Nessus Plugin ID 141286

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 puma (適用於 Ruby/Rack 應用程式的高度並行 HTTP 伺服器) 中發現數個安全性弱點。

CVE-2020-11076

透過使用無效的傳輸編碼標頭，攻擊者可走私 HTTP 回應。

CVE-2020-11077

用戶端可透過 Proxy 走私要求，造成 Proxy 將回應傳送回另一個未知用戶端。如果 Proxy 使用持續連線，而用戶端透過 HTTP 管線化新增其他要求，Proxy 可能會將其誤認為第一個要求的內文。
不過，Puma 會將其視為兩個要求，而且在處理第二個要求時，會傳回 Proxy 未預期的回應。
如果 Proxy 重複使用與 Puma 的持續連線來傳送其他用戶端的其他要求，則來自第一個用戶端的第二個回應會傳送至第二個用戶端。

針對 Debian 9「Stretch」，已在 3.6.0-1+deb9u1 版本中修正此問題。

建議您升級 puma 套件。

如需有關 puma 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/puma

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。