Amazon Linux AMI : ruby23 / ruby24 (ALAS-2018-1113)
critical Nessus Plugin ID 119472
語系：
概要
遠端 Amazon Linux AMI 主機缺少一個安全性更新。說明
在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x 版、2.5.2 之前的 2.5.x 版，以及 2.6.0-preview3 之前的 2.6.x 版的 OpenSSL 程式庫中發現一個問題。使用 == 比較兩個 OpenSSL::X509::Name 物件時，根據排序的不同，非相等的物件可能會傳回 true。當第一個引數比第二個引數長一個字元時，或者第二個引數所含的一個字元比第一個引數相同位置少一個字元時，== 的結果將為 true。這可以用於建立可被接受為合法的非法憑證，然後用於簽名或加密作業。(CVE-2018-16395) 在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x 版、2.5.2 之前的 2.5.x 版，以及 2.6.0-preview3 之前的 2.6.x 版中發現一個問題。它不會污染因使用某些格式解壓縮受污染字串而產生的字串。(CVE-2018-16396)解決方案
執行「yum update ruby23」以更新系統。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 119472
檔案名稱: ala_ALAS-2018-1113.nasl
版本: 1.4
類型: local
代理程式: unix
已發布: 2018/12/7
已更新: 2020/6/9
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 8.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:amazon:linux:ruby23, p-cpe:/a:amazon:linux:ruby23-debuginfo, p-cpe:/a:amazon:linux:ruby23-devel, p-cpe:/a:amazon:linux:ruby23-doc, p-cpe:/a:amazon:linux:ruby23-irb, p-cpe:/a:amazon:linux:ruby23-libs, p-cpe:/a:amazon:linux:ruby24, p-cpe:/a:amazon:linux:ruby24-debuginfo, p-cpe:/a:amazon:linux:ruby24-devel, p-cpe:/a:amazon:linux:ruby24-doc, p-cpe:/a:amazon:linux:ruby24-irb, p-cpe:/a:amazon:linux:ruby24-libs, p-cpe:/a:amazon:linux:rubygem23-bigdecimal, p-cpe:/a:amazon:linux:rubygem23-did_you_mean, p-cpe:/a:amazon:linux:rubygem23-io-console, p-cpe:/a:amazon:linux:rubygem23-json, p-cpe:/a:amazon:linux:rubygem23-psych, p-cpe:/a:amazon:linux:rubygem24-bigdecimal, p-cpe:/a:amazon:linux:rubygem24-did_you_mean, p-cpe:/a:amazon:linux:rubygem24-io-console, p-cpe:/a:amazon:linux:rubygem24-json, p-cpe:/a:amazon:linux:rubygem24-psych, p-cpe:/a:amazon:linux:rubygem24-xmlrpc, p-cpe:/a:amazon:linux:rubygems23, p-cpe:/a:amazon:linux:rubygems23-devel, p-cpe:/a:amazon:linux:rubygems24, p-cpe:/a:amazon:linux:rubygems24-devel, cpe:/o:amazon:linux
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2018/12/14
弱點發布日期: 2018/11/16
參考資訊
CVE: CVE-2018-16395, CVE-2018-16396
ALAS: 2018-1113