CVE-2022-24790
Təsvir
Puma, Ruby/Rack tətbiqləri üçün sadə, sürətli, çoxaxınlı və paralel HTTP 1.1 serveridir. Gələn HTTP sorğusunun RFC7230 standartına uyğunluğunu düzgün şəkildə yoxlamayan proksi arxasında istifadə edildikdə, Puma və ön uç proksisi sorğunun harada başlayıb harada bitdiyi barədə fərqli rəylərə malik ola bilər. Bu, sorğuların ön uç proksisi vasitəsilə Pumaya gizli şəkildə ötürülməsinə (request smuggling) şərait yaradır. Zəiflik 5.6.4 və 4.3.12 versiyalarında aradan qaldırılıb. İstifadəçilərə mümkün qədər tez yeniləmə etmək tövsiyə olunur. Müvəqqəti həll yolu: Puma qarşısında proksi yerləşdirərkən, sorğunun RFC7230 standartına uyğun olduğundan əmin olmaq üçün bütün funksionallıqları aktivləşdirməkdir.
Necə düzəltmək olar
- puma puma4.3.12, 5.6.4 və ya daha yeni versiya
- debian.org/security/2022/dsa-5146
- security.gentoo.org/glsa/202208-28
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TUBFJ44NCKJ34LECZRAP4N5VL6USJSIB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/L7NESIBFCNSR3XH7LXDPKVMSUBNUB43G/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/F6YWGIIKL7KKTS3ZOAYMYPC7D6WQ5OA5/
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| puma puma | v < 4.3.12, 5.0.0 ≤ v < 5.6.4 | 4.3.12, 5.6.4 |
| debian debian_linux | 10.0, 11.0 | — |
| fedoraproject fedora | 35, 36, 37 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.