Debian dla-3800：ruby-rack - 安全性更新

medium Nessus Plugin ID 194449

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 10 主機上安裝的一個套件受到 dla-3800 公告中提及的多個弱點影響。

- Rack 是一種模組化的 Ruby Web 伺服器介面。特製的內容類型標頭可造成 Rack 的媒體類型剖析器花費比預期更長的時間，進而導致可能的拒絕服務弱點 (ReDos 2 次多項式)。此弱點已在 3.0.9.1 和 2.2.8.1 版本中得到修補。(CVE-2024-25126)

- Rack 是一種模組化的 Ruby Web 伺服器介面。特製的 Range 標頭可導致伺服器作出預期之外的大型回應。如此龐大的回應可導致拒絕服務問題。易受影響的應用程式會使用 `Rack::File` 中介軟體或 `Rack::Utils.byte_ranges` 方法 (包括 Rails 應用程式)。此弱點已在 3.0.9.1 和 2.2.8.1 中修復。(CVE-2024-26141)

- Rack 是一種模組化的 Ruby Web 伺服器介面。精心特製的標頭可造成 Rack 中的標頭剖析佔用比預期更長的時間，進而可能導致拒絕服務問題。Accept 和 Forwarded 標頭會受到影響。Ruby 3.2 帶有此問題的緩解措施，因此使用 Ruby 3.2 或更新版本的 Rack 應用程式不會受到影響。此弱點已在 2.0.9.4、2.1.4.4、2.2.8.1 和 3.0.9.1 中修復。(CVE-2024-26146)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。