遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2024-1576 公告中提及的多個弱點影響。

  - 在 Ruby 3.2.1 以及之前的所有版本中，發現 0.12.0 版及其之前所有版本的 URI 元件中存在 ReDoS 問題。URI 剖析器未正確處理具有特定字元的無效 URL，這導致將字串剖析為 URI 物件的執行時間增加。修正後的版本是 0.12.1、0.11.1、0.10.2 和 0.10.0.1。(CVE-2023-28755)

  - 在 Ruby 3.2.1 以及之前的所有版本中，發現 0.2.1 版及其之前所有版本的 Time 元件中存在 ReDoS 問題。Time 剖析器未正確處理具有特定字元的無效 URL，這導致將字串剖析為 Time 物件的執行時間增加。修正後的版本是 0.1.1 和 0.2.2。(CVE-2023-28756)

  - 在適用於 Ruby 的 URI 元件 0.12.2 之前版本中發現 ReDoS 問題。URI 剖析器未正確處理具有特定字元的無效 URL，使用 rfc2396_parser.rb 和 rfc3986_parser.rb 將字串剖析為 URI 物件時執行時間有所增加。注意：此問題之所以存在，是因為 CVE-2023-28755 的修復不完整。 0.10.3 版也是修正過的版本。(CVE-2023-36617)

  - Ruby 的 cgi gem 0.1.0.2 之前版本、0.2.2 之前的 0.2.x 版和 0.3.5 之前的 0.3.x 版允許分割 HTTP 回應。這與使用未受信任的使用者輸入來產生 HTTP 回應或建立 CGI::Cookie 物件的應用程式相關。(CVE-2021-33621)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 9：ruby:3.1 (ELSA-2024-1576)

high Nessus Plugin ID 192872

版本 1.0