CVE-2020-11077
Açıklama
Puma (RubyGem) 4.3.5 ve 3.12.6 sürümlerinden öncekilerde, bir istemci bir proxy üzerinden istek kaçırabilir (request smuggling), bu da proxynin başka bir bilinmeyen istemciye yanıt göndermesine neden olabilir. Eğer proxy kalıcı bağlantılar kullanıyorsa ve istemci HTTP pipelining aracılığıyla başka bir istek eklerse, proxy bunu ilk isteğin gövdesi olarak algılayabilir. Ancak Puma bunu iki ayrı istek olarak görür ve ikinci isteği işlerken proxynin beklemediği bir yanıt gönderir. Proxy, farklı bir istemci için başka bir istek göndermek amacıyla Puma ile olan kalıcı bağlantıyı yeniden kullandıysa, ilk istemciden gelen ikinci yanıt ikinci istemciye gönderilir. Bu durum, CVE-2020-11076 ile benzer ancak farklı bir güvenlik açığıdır. Sorun Puma 3.12.6 ve Puma 4.3.5 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- puma puma3.12.6, 4.3.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| puma puma | 3.0.0 ≤ v < 3.12.6, 4.0.0 ≤ v < 4.3.5 | 3.12.6, 4.3.5 |
| fedoraproject fedora | 33 | — |
| debian debian_linux | 9.0 | — |
| opensuse leap | 15.1, 15.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.