已在嵌入 ruby2.1 的 rubygems (直譯指令碼語言) 中發現了數個弱點。CVE-2019-8320 在 RubyGems 中發現一個目錄周遊問題。建立新目錄或接觸檔案 (現在包括適用於符號連結路徑檢查的程式碼) 之前，該問題會刪除目標目的地。CVE-2019-8322 gem 擁有者命令會直接將 API 回應內容輸出至 stdout。因此，若回應經過特製，可能會發生逸出序列插入。CVE-2019-8323 Gem::GemcutterUtilities#with_response 可能會以原樣將 API 回應輸出至 stdout。因此，若 API 端修改回應，可能會發生逸出序列插入。CVE-2019-8324 未正確處理具有多行名稱的特製 gem。因此，攻擊者可將任意程式碼插入 gemspec 的 stub 行 (進行預先安裝檢查時，由 ensure_loadable_spec 中的程式碼 eval 化)。CVE-2019-8325 在 RubyGems 2.6 中發現一個問題，之後在 3.0.2 之前的版本都發現相同問題。由於 Gem::CommandManager#run 會呼叫 alert_error 而不逸出，因此可能會發生逸出序列插入。(導致錯誤發生的方式有很多。)針對 Debian 8「Jessie」，這些問題已在 2.1.5-2+deb8u7 版本中修正。我們建議您升級 ruby2.1 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1735-1：ruby2.1 安全性更新

high Nessus Plugin ID 123522

找不到變更記錄