CVE-2015-3225 机架和乘客

Question

在 CVE-2015-3225 之后，我想更新一些在生产环境中通过 passenger 托管的应用程序的机架版本。但是，我不确定 passenger 和 rack 之间的关系是什么。我是否需要更新 rack passenger 正在使用的版本，或者每个应用程序中指定的 rack 版本 Gemfile.lock，还是我应该同时更新两者？

我认为答案是后者（两者），但如果我可以通过更新乘客正在使用的机架版本来修复漏洞，那么工作量就会少很多。

就是这个google forumpost让我以为passenger在定义机架版本，但是再读一遍我不这么认为。

Answer 1

rack 版本在应用程序中定义。每个应用程序都可以有自己的 rack 版本，Passenger 会加载它。

因此，您要升级的是您的应用程序当前使用的 rack 版本。