Phusion Passenger दूरस्थ हमलावरों को हेडर स्पूफ करने की अनुमति देता है

यह भेद्यता हमलावरों को एप्लिकेशन को भेजे गए HTTP हेडर को स्पूफ करने की अनुमति देती है, जिससे संभावित रूप से संवेदनशील जानकारी का खुलासा हो सकता है या एप्लिकेशन के व्यवहार को बदला जा सकता है। हमलावर _ (अंडरस्कोर) वर्ण का उपयोग करके - (डैश) वर्ण के बजाय हेडर नामों में हेरफेर कर सकते हैं, जिससे फ़िल्टरिंग तंत्र को बायपास किया जा सकता है। यह एप्लिकेशन को अनपेक्षित डेटा भेजने या अनधिकृत कार्यों को करने के लिए प्रेरित कर सकता है। इस भेद्यता का उपयोग अन्य हमलों को लॉन्च करने के लिए भी किया जा सकता है, जैसे कि क्रॉस-साइट स्क्रिप्टिंग (XSS) या सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF)।

1. प्रकाशित2018-10-10
2. संशोधित2024-02-22
3. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने के लिए, Phusion Passenger को संस्करण 4.0.60 या बाद के संस्करण में अपडेट करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक फ़िल्टरिंग प्रॉक्सी का उपयोग करें जो हेडर नामों में अंडरस्कोर वर्णों को - (डैश) वर्णों से बदल दे। इसके अतिरिक्त, Apache कॉन्फ़िगरेशन की समीक्षा करें और सुनिश्चित करें कि Passenger को सुरक्षित मोड में चलाया जा रहा है। किसी भी असामान्य हेडर व्यवहार की निगरानी के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को लागू करें।