Apache · Apache Traffic Server · CVE-2021-41136
**Nome do software vulnerável e versões afetadas**
Versões do Puma anteriores à 5.5.1 e à 4.3.9
**Descrição**
O problema está relacionado ao contrabando de solicitações HTTP ao usar o Puma com um proxy que encaminha valores de cabeçalho HTTP contendo o caractere LF. Isso poderia permitir que um cliente contrabandeasse uma solicitação através de um proxy, fazendo com que o proxy enviasse uma resposta de volta a outro cliente desconhecido. O único proxy conhecido por apresentar esse comportamento é o Apache Traffic Server. Se o proxy usar conexões persistentes e o cliente adicionar outra solicitação via pipelining HTTP, o proxy pode interpretá-la erroneamente como o corpo da primeira solicitação. O Puma, no entanto, a veria como duas solicitações e, ao processar a segunda solicitação, enviaria uma resposta que o proxy não espera. Se o proxy tiver reutilizado a conexão persistente com o Puma para enviar outra solicitação para um cliente diferente, a segunda resposta do primeiro cliente será enviada ao segundo cliente.
**Recomendações**
Para resolver o problema, atualize para a versão 5.5.1 ou 4.3.9 do Puma.
Como solução alternativa temporária, não use o Apache Traffic Server com o Puma.
Considere usar um proxy que não encaminhe caracteres LF como finais de linha, como Nginx, Apache (>2.4.25), Haproxy, Caddy ou Traefik.