Debian dla-4357ruby-rack - 安全性更新

medium Nessus Plugin ID 272174

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機安裝了一個受到 dla-4357 公告中提及的多個弱點影響的套件。

- ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4357-1 [email protected] https://www.debian.org/lts/security/Utkarsh Gupta 2025 年 11 月 1 日 https://wiki.debian.org/LTS
- -----------------------------------------------------------------------

套件 ruby-rack 版本 2.1.4-3+deb11u4 CVE ID CVE-2025-32441 CVE-2025-46727 CVE-2025-59830 CVE-2025-61770 CVE-2025-61771 CVE-2025-61772 CVE-2025-61780 CVE-2025-61919 Debian 錯誤 1104927 1116431 1117855 1117856 1117627 1117628

在模組化 Ruby webserver 介面 ruby-rack 中發現多個弱點如下

- CVE-2025-32441Rack 工作階段可在刪除後還原。
- CVE-2025-46727Rack::QueryParser 中的未系結參數剖析可導致記憶體耗盡。
- CVE-2025-59830Rack::QueryParser 中的未系結參數剖析可透過分號分隔的參數導致記憶體耗盡。
- CVE-2025-61770未系結多部分前置碼緩衝會啟用 DoS (記憶體耗盡)。
- CVE-2025-61771Multipart 剖析器完全在記憶體中緩衝大型的 nonfile 欄位進而啟用 DoS (記憶體耗盡)。
- CVE-2025-61772Multipart 剖析器會緩衝無限制的各部分標頭進而啟用 DoS (記憶體耗盡)。
- CVE-2025-61919Rack::Request 表單剖析中的無限制讀取可能導致記憶體耗盡。
- CVE-2025-61780不當處理 Rack::Sendfile 中的標頭可能會允許代理伺服器繞過。

針對 Debian 11 Bullseye這些問題已在 2.1.4-3+deb11u4 版本中修正。

建議您升級 ruby-rack 套件。

如需有關 ruby-rack 安全性狀態的詳細資訊，請參閱其安全追蹤頁面:
https://security-tracker.debian.org/tracker/ruby-rack

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。