Bulletin d'alerte Debian

DSA-4415-1 passenger -- Mise à jour de sécurité

Date du rapport :
24 mars 2019
Paquets concernés :
passenger
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 884463.
Dans le dictionnaire CVE du Mitre : CVE-2017-16355.
Plus de précisions :

Une vulnérabilité de lecture de fichier arbitraire a été découverte dans passenger, un serveur d'applications web. Un utilisateur local autorisé à déployer une application dans passenger, peut tirer avantage de ce défaut en créant un lien symbolique à partir du fichier REVISION vers un fichier arbitraire sur le système et d'obtenir l'affichage de son contenu grâce à passenger-status.

Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 5.0.30-1+deb9u1.

Nous vous recommandons de mettre à jour vos paquets passenger.

Pour disposer d'un état détaillé sur la sécurité de passenger, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/passenger.