Debian DLA-3077-1：ruby-tzinfo - LTS 安全性更新

high Nessus Plugin ID 164282

語系：

概要

遠端 Debian 主機缺少與安全性相關的更新。

說明

遠端 Debian 10 主機上安裝的套件受 dla-3077 公告中提及的一個弱點影響。

- TZInfo 是一個 Ruby 庫，提供對時區資料的存取權，並允許使用時區規則轉換時間。0.36.1 之前版本和 1.2.10 之前版本與 Ruby 資料來源 tzinfo-data 一起使用時，容易受到相對路徑遊走弱點影響。使用者可使用 Ruby 資料來源在 Ruby 檔案中定義時區。每個時區有一個檔案。使用「require」隨需載入時區檔案。在受影響的版本中，「TZInfo：: Timezone.get」無法正確驗證時區識別碼，進而允許識別碼中出現新行字元。在 Ruby 1.9.3 版和更新版本中，使用者可利用「TZInfo: : Timezone.get」使用「require」載入非預定檔案，並在 Ruby 處理程序內執行這些檔案。 0.3.61 和 1.2.10 版包含可正確驗證時區識別碼的修復程式。2.0.0 和更新版本不容易受此弱點攻擊。如果檔案名稱遵循有效時區識別碼的規則，且檔案在載入路徑的目錄中具有「tzinfo/definition」前置詞，則 0.3.61 版仍可從 Ruby 載入路徑載入任意檔案。應用程式應確保未將不受信任的檔案放置於載入路徑的目錄中。因應措施是，在將時區識別碼傳遞至「TZInfo: : Timezone.get」前，應確保其符合規則運算式「\A[A-Za-z0-9+\-_]+(?: \/[A-Za-z0-9+\-_]+)*\z」，以此進行驗證。(CVE-2022-31163)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。