Debian dla-4505ruby-rack - 安全更新

high Nessus 插件 ID 303309

语言：

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程 Debian 11 主机上安装有一个安装的程序包该程序包受到 dla-4505 公告中提及的多个漏洞的影响。

- ------------------------------------------------- ---------------------- Debian LTS 公告 DLA-4505-1 [email protected] https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 3 月 23 日 https://wiki.debian.org/LTS
- -----------------------------------------------------------------------

程序包ruby-rack 版本2.1.4-3+deb11u5 CVE ID CVE-2026-22860 CVE-2026-25500 Debian 缺陷11284791128480

在 ruby-rack模块化 Ruby web 服务器接口中发现了两个漏洞。

CVE-2026-22860

Rack::Directory 的路径检查在扩展路径中使用了字符串前缀匹配。如果目标路径以根字符串开头类似 /../root_example/ 的请求可转义配置的根从而允许列出预期根之外的目录。

CVE-2026-25500

Rack::Directory 生成了一个 HTML 目录索引其中每个文件条目都呈现为可点击的链接。如果磁盘上存在其基本名称以 javascript: scheme 开头的文件则生成的索引包含其 href 会在浏览器中执行 JavaScript 的定位标记从而导致存储 XSS 漏洞。

对于 Debian 11 Bullseye这些问题已在 2.1.4-3+deb11u5 版本中修复。

我们建议您升级 ruby-rack 程序包。

如需了解 ruby-rack 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/ruby-rack

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。