摘要:
rubygem-rack security update
安全等级: High
公告ID: KylinSec-SA-2024-3418
发布日期: 2024年7月12日
关联CVE: CVE-2022-44572 CVE-2024-26141
Rack 为使用 Ruby 开发 Web 应用程序提供了一个最小、模块化和可适应的接口。它通过以尽可能简单的方式封装 HTTP 请求和响应，将 Web 服务器、Web 框架以及它们之间的软件（所谓的中间件）的 API 统一并提炼为单个方法调用。
安全修复：
CVE-2022-44572：在 Rack 的 2.0.9.2、2.1.4.2、2.2.4.1 和 3.0.0.1 版本中修复了多部分解析组件中的拒绝服务漏洞。该漏洞允许攻击者构造输入，导致 Rack 在解析 RFC2183 多部分边界时花费异常长的时间，从而可能构成拒绝服务攻击向量。任何使用 Rack 解析多部分帖子（几乎所有 Rails 应用程序）的应用程序都会受到影响。
CVE-2024-26141：Rack 是一个模块化的 Ruby Web 服务器接口。精心设计的 Range 请求头可能导致服务器响应异常大的响应。响应如此大的响应可能会导致拒绝服务问题。受影响的应用程序将使用 Rack::File 中间件或 Rack::Utils.byte_ranges 方法（这包括 Rails 应用程序）。该漏洞在 3.0.9.1 和 2.2.8.1 版本中得到了修复。
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2022-44572 | KY3.4-5A | rubygem-rack | Fixed |
| CVE-2024-26141 | KY3.4-5A | rubygem-rack | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| rubygem-rack | noarch | 2.2.3.1-4.kb1.ky3_4 |
| rubygem-rack-help | noarch | 2.2.3.1-4.kb1.ky3_4 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
