遠端 Oracle Linux 6 主機中安裝的套件受到 ELSA-2014-1913 公告中提及的多個弱點影響。

  - 在 1.9.3-p550 之前的 1.9.x 版、2.0.0-p594 之前的 2.0.x 版、2.1.4 之前的 2.1.x 版 Ruby 中，REXML 剖析器可能會讓遠端攻擊者透過特製的 XML 文件，引發拒絕服務 (記憶體消耗)，也就是 XML 實體擴充 (XEE) 攻擊。(CVE-2014-8080)

  - 在 Ruby 1.9.3 之前的 1.9.x 版 patchlevel 551、2.0.0 之前的 2.0.x 版 patchlevel 598，以及 2.1.5 之前的 2.1.x 版中，REXML 剖析器允許遠端攻擊者透過特製的 XML 文件，其中包含在大量巢狀實體參照中使用的空字串，來造成拒絕服務 (CPU 和記憶體消耗)，這種攻擊被稱為 XML 實體擴充 (XEE) 攻擊。注意：此弱點之所以存在，是因為 CVE-2013-1821 和 CVE-2014-8080 的修正不完整。(CVE-2014-8090)

  - 在 Ruby 1.9.3 和更舊版本，以及 2.1.2 之前的 2.x 版中，pack.c 的編碼函式有差一錯誤，當使用特定格式字串指定名稱時，其允許內容相依的攻擊者透過觸發堆疊型緩衝區溢位的向量造成拒絕服務 (分割錯誤)。(CVE-2014-4975)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 6：ruby193-ruby (ELSA-2014-1913)

high Nessus Plugin ID 181041

版本 1.0