NewStart CGSL CORE 5.04 / MAIN 5.04：ruby 多個弱點 (NS-SA-2019-0080)

high Nessus Plugin ID 127292

語系：

概要

遠端機器受到多個弱點的影響。

說明

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 ruby 套件：- 在 RubyGems 2.6 中發現一個問題，之後在 3.0.2 之前的版本都發現相同問題。gem 擁有者命令會直接將 API 回應內容輸出至 stdout。因此，若回應經過特製，可能會發生逸出序列插入。(CVE-2019-8322) - 在 RubyGems 2.6 中發現一個問題，之後在 3.0.2 之前的版本都發現相同問題。Gem::GemcutterUtilities#with_response 可能會以原樣將 API 回應輸出至 stdout。因此，若 API 端修改回應，可能會發生逸出序列插入。(CVE-2019-8323) - 在 RubyGems 2.6 中發現一個問題，之後在 3.0.2 之前的版本都發現相同問題。未正確處理具有多行名稱的特製 gem。因此，攻擊者可將任意程式碼插入 gemspec 的 stub 行 (進行預先安裝檢查時，由 ensure_loadable_spec 中的程式碼 eval 化)。(CVE-2019-8324) - 在 RubyGems 2.6 中發現一個問題，之後在 3.0.2 之前的版本都發現相同問題。由於 Gem::CommandManager#run 會呼叫 alert_error 而不逸出，因此可能會發生逸出序列插入。(導致錯誤發生的方式有很多。)(CVE-2019-8325) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。