CVE-2024-45614

सारांश

Puma एक Ruby/Rack वेब सर्वर है जो समानांतरता (parallelism) के लिए बनाया गया है। प्रभावित संस्करणों में, क्लाइंट मध्यवर्ती प्रॉक्सी (जैसे X-Forwarded-For) द्वारा सेट किए गए मानों को उसी हेडर के अंडरस्कोर संस्करण (X-Forwarded_For) प्रदान करके ओवरराइट कर सकते हैं। प्रॉक्सी द्वारा सेट किए गए वेरिएबल्स पर निर्भर रहने वाले सभी उपयोगकर्ता प्रभावित हैं। v6.4.3/v5.6.9 अब किसी भी हेडर को त्याग देते हैं जो अंडरस्कोर का उपयोग करते हैं यदि गैर-अंडरस्कोर संस्करण भी मौजूद है। प्रभावी रूप से, प्रॉक्सी द्वारा परिभाषित हेडर को हमेशा जीतने की अनुमति देता है। उपयोगकर्ताओं को अपग्रेड करने की सलाह दी जाती है। Nginx में एक underscores_in_headers कॉन्फ़िगरेशन वेरिएबल है जो इन हेडरों को प्रॉक्सी स्तर पर शमन (mitigation) के रूप में त्याग देता है। जो भी उपयोगकर्ता सुरक्षा के लिए प्रॉक्सी द्वारा परिभाषित हेडरों पर अंतर्निहित रूप से भरोसा कर रहे हैं, उन्हें फिक्स्ड संस्करणों में अपग्रेड होने तक तुरंत ऐसा करना बंद कर देना चाहिए।

• puma_header_normalization-CVE-2024-45614PoC

  Puma हेडर सामान्यीकरण CVE-2024-45614 पुष्टि