KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2018-12026 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Phusion Passenger是荷兰Phusion公司的一个用于在Apache和Nginx网页服务器上部署Ruby on Rails项目的Apache模块。SpawningKit是其中的一个组件。
Phusion Passenger 5.3.2之前的5.3.x版本中的SpawningKit存在安全漏洞。攻击者可通过将路径元素替换成符号链接利用该漏洞执行任意的读取和写入操作，从而泄露信息并提升权限。
影响范围
应用：phusion passenger（影响面 Up to (excluding) 5.3.2）
系统：debian_10 passenger（影响面 Up to (excluding) 5.0.30-1.1）
系统：debian_11 passenger（影响面 Up to (excluding) 5.0.30-1.2+deb11u1）
系统：debian_12 passenger（影响面 Up to (excluding) 6.0.17+ds-1）
解决方案
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://blog.phusion.nl/2018/06/12/passenger-5-3-2-various-security-fixes/
参考信息
https://blog.phusion.nl/passenger-5-3-2
https://security.gentoo.org/glsa/201807-02
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。