Debian dla-4163bundler - 安全性更新
low Nessus Plugin ID 236773
語言:
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4163 公告中所提及。- ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4163-1 [email protected] https://www.debian.org/lts/security/Lucas Kanashiro 2025 年 5 月 12 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
套件 rubygems 版本 3.2.5-2+deb11u1 CVE ID CVE-2021-43809 CVE-2023-28755 CVE-2025-27221
在 rubygems 中發現多個弱點其中包含適用於 Ruby 的套件管理架構以及適用於 Ruby 應用程式的相依性管理員。
CVE-2021-43809
在 2.2.33之前的Bundler 版本中使用不受信任且明顯無害的 `Gemfile` 時預期這些問題不會導致執行外部程式碼除非這在 `Gemfile` 本身內部的 ruby 程式碼中有明確說明。不過如果 `Gemfile` 包含使用 `git` 選項的 `gem` 項目且該選項具有無效但看似無害的值 (且具有前置虛線)這可能為 false。為處理來自 Git 存放庫而非登錄檔的相依性Bundler 使用了多種命令例如「git clone」。這些命令是使用使用者輸入 (例如存放庫 URL) 建構的。構建命令時 2.2.33 之前的 Bundler 版本會傳送引數陣列 (而非命令字串)藉此正確避免命令插入弱點。不過使用者輸入有可能以破折號 (`-`) 開頭因此會被視為選用引數而非位置引數。這可導致程式碼執行因為某些命令具有可遭利用來執行任意可執行檔的選項。
CVE-2023-28755
在 Ruby 到 3.2.1的 URI 元件中發現到 0.12.0 為止的一個 ReDoS 問題。URI 剖析器未正確處理具有特定字元的無效 URL，這導致將字串剖析為 URI 物件的執行時間增加。
CVE-2025-27221
由於即使變更主機後仍會保留 userinfo因此 URI 處理方法 (URI.join、URI#merge、URI#+) 會意外洩漏驗證認證。
針對 Debian 11 Bullseye這些問題已在 3.2.5-2+deb11u1 版本中修正。
建議您升級 rubygems 套件。
如需 rubygems 的詳細安全性狀態請參閱其安全追踪頁面
https://security-tracker.debian.org/tracker/rubygems
有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS
Tenable 已直接從 Debian 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級bundler 套件。另請參閱
https://security-tracker.debian.org/tracker/source-package/rubygems
https://security-tracker.debian.org/tracker/CVE-2021-43809
https://security-tracker.debian.org/tracker/CVE-2023-28755
Plugin 詳細資訊
嚴重性: Low
ID: 236773
檔案名稱: debian_DLA-4163.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2025/5/15
已更新: 2025/5/15
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 9.3
時間性分數: 7.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2021-43809
CVSS v3
風險因素: High
基本分數: 7.3
時間性分數: 6.6
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
風險因素: Low
Base Score: 2.1
Threat Score: 1.2
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N
CVSS 評分資料來源: CVE-2025-27221
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:ruby-bundler, p-cpe:/a:debian:debian_linux:ruby-rubygems, p-cpe:/a:debian:debian_linux:bundler, cpe:/o:debian:debian_linux:11.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2025/5/12
弱點發布日期: 2021/12/8