Debian DLA-2398-1：puma 安全更新

high Nessus 插件 ID 141286

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 puma 中发现多个安全漏洞，puma 是用于 Ruby/Rack 应用程序的高并发 HTTP 服务器。

CVE-2020-11076

攻击者可使用无效的传输编码标头，走私 HTTP 响应。

CVE-2020-11077

客户端可通过代理走私请求，导致代理将响应发送回另一个未知客户端。如果代理使用持续连接，并且客户端通过 HTTP 管道添加了另一个请求，则代理可能会将其误认为是第一个请求的正文。
但是，Puma 会将其视为两个请求，并在处理第二个请求时发回代理未预期的响应。
如果代理已重新使用与 Puma 的持续连接为其他客户端发送其他请求，则来自第一个客户端的第二个响应将被发送到第二个客户端。

针对 Debian 9 stretch，此问题已在 3.6.0-1+deb9u1 中修复。

我们建议您升级 puma 程序包。

如需了解 puma 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/puma

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。