RHEL 7:ruby (RHSA-2019:2028)

critical Nessus Plugin ID 127649

概要

遠端 Red Hat 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 7 的 ruby 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數,其中包含有關嚴重性評等的詳細資訊。Ruby 是可延伸的解譯式物件導向指令碼語言。它具有處理文字檔案及執行系統管理工作的功能。安全性修正:* ruby:WEBrick 中存在 HTTP 回應分割 (CVE-2017-17742) * ruby:WEBrick 中的大型要求導致 DoS (CVE-2018-8777) * ruby:String#unpack 中發生緩衝區讀取不足 (CVE-2018-8778) * ruby:在 Dir 中,感染的 NULL 位元組造成非預定的目錄周遊 (CVE-2018-8780) * ruby:受污染的旗標無法以某些指示詞在 Array#pack 和 String#unpack 中散佈 (CVE-2018-16396) * rubygems:寫入 root 外部符號連結的 basedir 時,發生路徑周遊 (CVE-2018-1000073) * rubygems:gem 擁有者中發現不安全的物件還原序列化弱點,進而允許在特製的 YAML 上執行任意程式碼 (CVE-2018-1000074) * rubygems:tarball 中的不當簽章驗證允許安裝簽署錯誤的 gem (CVE-2018-1000076) * rubygems:規格首頁屬性缺少 URL 驗證可讓惡意 gem 設定無效的首頁 URL (CVE-2018-1000077) * rubygems:透過 gem 伺服器顯示時,首頁屬性中發現 XSS 弱點 (CVE-2018-1000078) * rubygems:gem 安裝期間發生的路徑周遊問題允許寫入任意檔案系統位置 (CVE-2018-1000079) * ruby:在 tempfile 和 tmpdir 中,使用目錄周遊建立了非預定的檔案和目錄 (CVE-2018-6914) * ruby:在 UNIXServer 和 UNIXSocket 中,感染的 NULL 位元組建立了非預定的通訊端 (CVE-2018-8779) * rubygems:因為 tar 標頭中的負大小而導致的無限迴圈弱點可造成拒絕服務 (CVE-2018-1000075) 如需安全性問題的詳細資料,包括影響、CVSS 分數、致謝及其他相關資訊,請參閱〈參照〉一節列出的 CVE 頁面。其他變更:如需有關此發行版本的詳細變更資訊,請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.7 版本資訊。

解決方案

更新受影響的套件。

另請參閱

http://www.nessus.org/u?3395ff0b

https://access.redhat.com/errata/RHSA-2019:2028

https://access.redhat.com/security/cve/cve-2017-17742

https://access.redhat.com/security/cve/cve-2018-6914

https://access.redhat.com/security/cve/cve-2018-8777

https://access.redhat.com/security/cve/cve-2018-8778

https://access.redhat.com/security/cve/cve-2018-8779

https://access.redhat.com/security/cve/cve-2018-8780

https://access.redhat.com/security/cve/cve-2018-16396

https://access.redhat.com/security/cve/cve-2018-1000073

https://access.redhat.com/security/cve/cve-2018-1000074

https://access.redhat.com/security/cve/cve-2018-1000075

https://access.redhat.com/security/cve/cve-2018-1000076

https://access.redhat.com/security/cve/cve-2018-1000077

https://access.redhat.com/security/cve/cve-2018-1000078

https://access.redhat.com/security/cve/cve-2018-1000079

Plugin 詳細資訊

嚴重性: Critical

ID: 127649

檔案名稱: redhat-RHSA-2019-2028.nasl

版本: 1.6

類型: local

代理程式: unix

已發布: 2019/8/12

已更新: 2022/5/19

支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: CVE-2018-8780

CVSS v3

風險因素: Critical

基本分數: 9.8

時間分數: 8.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

CVSS 評分資料來源: CVE-2018-1000076

弱點資訊

CPE: p-cpe:/a:redhat:enterprise_linux:ruby, p-cpe:/a:redhat:enterprise_linux:ruby-debuginfo, p-cpe:/a:redhat:enterprise_linux:ruby-devel, p-cpe:/a:redhat:enterprise_linux:ruby-doc, p-cpe:/a:redhat:enterprise_linux:ruby-irb, p-cpe:/a:redhat:enterprise_linux:ruby-libs, p-cpe:/a:redhat:enterprise_linux:ruby-tcltk, p-cpe:/a:redhat:enterprise_linux:rubygem-bigdecimal, p-cpe:/a:redhat:enterprise_linux:rubygem-io-console, p-cpe:/a:redhat:enterprise_linux:rubygem-json, p-cpe:/a:redhat:enterprise_linux:rubygem-minitest, p-cpe:/a:redhat:enterprise_linux:rubygem-psych, p-cpe:/a:redhat:enterprise_linux:rubygem-rake, p-cpe:/a:redhat:enterprise_linux:rubygem-rdoc, p-cpe:/a:redhat:enterprise_linux:rubygems, p-cpe:/a:redhat:enterprise_linux:rubygems-devel, cpe:/o:redhat:enterprise_linux:7

必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2019/8/6

弱點發布日期: 2018/3/13

參考資訊

CVE: CVE-2017-17742, CVE-2018-1000073, CVE-2018-1000074, CVE-2018-1000075, CVE-2018-1000076, CVE-2018-1000077, CVE-2018-1000078, CVE-2018-1000079, CVE-2018-16396, CVE-2018-6914, CVE-2018-8777, CVE-2018-8778, CVE-2018-8779, CVE-2018-8780

RHSA: 2019:2028