Bulletin d'alerte Debian

DLA-394-1 passenger -- Mise à jour de sécurité pour LTS

Date du rapport :
18 janvier 2016
Paquets concernés :
passenger
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2015-7519.
Plus de précisions :

Agent/Core/Controller/SendRequest.cpp dans Phusion Passenger avant les versions 4.0.60 et 5.0.x avant 5.0.22, lorsqu’utilisé dans le mode d’intégration d’Apache ou dans le mode autonome sans mandataire de filtrage, permet aux attaquants distants de falsifier les en-têtes passés aux applications en utilisant un caractère _ (trait de soulignement) au lieu d’un tiret - dans un en-tête HTTP, comme démontré par un en-tête X_User.