遠端 Debian 11 主機上安裝的多個套件受到 dla-3877 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-3877-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2024 年 9 月 5 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：ruby-sinatra 版本：2.0.8.1-2+deb11u1 CVE ID： CVE-2022-29970 CVE-2022-45442 Debian 錯誤：1014717 1070953

    Sinatra 是適用於 Ruby 程式設計語言的開放原始碼 Web 架構。

    CVE-2022-29970

        發現一個檔案遊走弱點。現在，我們會在提供靜態檔案時，驗證所有展開的路徑是否符合允許的「public_dir」。

    CVE-2022-45442

        據發現，可能存在反映式檔案下載 (RFD) 弱點。未正確從使用者可能提供的檔案名稱衍生 Content-Disposition HTTP 標頭。

    針對 Debian 11 Bullseye，這些問題已在 2.0.8.1-2+deb11u1 版本中修正。

    建議您升級 ruby-sinatra 套件。

    如需有關 ruby-sinatra 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ruby-sinatra

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-3877：ruby-rack-protection - 安全性更新

high Nessus Plugin ID 206670

版本 1.1