CVE-2019-16254: HTTP-Antwort-Splitting in WEBrick (zusätzliche Korrektur)

Gepostet von mame am 1. Okt 2019

Es gibt eine HTTP-Antwort-Splitting-Schwachstelle in WEBrick, das mit Ruby gebündelt ist. Dieser Schwachstelle wurde die CVE-ID CVE-2019-16254 zugewiesen.

Details

Wenn ein Programm, das WEBrick verwendet, nicht vertrauenswürdige Eingaben in den Antwort-Header einfügt, kann ein Angreifer dies ausnutzen, um ein Zeilenumbruchzeichen einzufügen, einen Header zu trennen und bösartige Inhalte einzuschleusen, um Clients zu täuschen.

Dies ist dasselbe Problem wie CVE-2017-17742. Die vorherige Korrektur war unvollständig und adressierte den CRLF-Vektor, berücksichtigte jedoch kein isoliertes CR oder isoliertes LF.

Alle Benutzer, die eine betroffene Version verwenden, sollten sofort ein Upgrade durchführen.

Betroffene Versionen

• Alle Versionen, die Ruby 2.3 oder früher sind
• Ruby 2.4 Serie: Ruby 2.4.7 oder früher
• Ruby 2.5 Serie: Ruby 2.5.6 oder früher
• Ruby 2.6 Serie: Ruby 2.6.4 oder früher
• Ruby 2.7.0-preview1
• vor dem Commit 3ce238b5f9795581eb84114dcfbdf4aa086bfecc in master

Danksagung

Vielen Dank an znz für die Entdeckung dieses Problems.

Verlauf

• Ursprünglich veröffentlicht am 2019-10-01 11:00:00 (UTC)