MiracleLinux 3ruby-1.8.5-5.5 (AXSA:2008-514:03)
high Nessus Plugin ID 283921
語言:
概要
遠端 MiracleLinux 主機缺少一個或多個安全性更新。說明
遠端 MiracleLinux 3 主機已安裝受到 AXSA:2008-514:03 公告中所提及的多個弱點影響的套件。Ruby 是解譯的指令碼語言可進行快速而簡單的物件導向程式設計。它有許多功能可以處理文字檔案和執行系統管理工作 (如同在 Perl 中一樣)。它簡單、直接且可延伸。
修正的錯誤：
CVE-2008-3443：
Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71以及 1.9 至 r18423 中的規則運算式引擎 (regex.c) 允許遠端攻擊者在迴圈和損毀)透過對 Ruby 通訊端的多個長要求造成此問題與記憶體配置失敗有關 Webrick 即為一例。
CVE-2008-3655：
Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71以及 1.9 至 r18423 未在各種安全層級正確限制對重要變數和方法的存取權其允許內容相依的攻擊者透過 (1) untrace_var、(2) $PROGRAM_NAME和 (3) 安全層級 4 的 syslog以及 (4) 安全層級 1 至 3 的不安全方法繞過預定的存取限制。
CVE-2008-3656：
在 Ruby 1.8.5 和更舊版本、 1.8.6 到 1.8.6-p286、 1.8.7 到 1.8.7-p71 以及 1.9 到 r18423 的 WEBrick::HTTP::DefaultFileHandler 中WEBrick::HTTP::DefaultFileHandler 有一個演算法複雜弱點可讓內容相依的攻擊者造成透過由回溯規則運算式處理的特製 HTTP 要求造成的拒絕服務 (CPU 消耗)。
CVE-2008-3657：
Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71、 1.9 至 r18423 中的 dl 模組未檢查輸入的污染情況進而允許內容相依的攻擊者繞過安全層級並透過存取使用 DL.dlopen 的程式庫來執行危險函式。
CVE-2008-3790：
Ruby 1.8.6 到 1.8.6-p287、 1.8.7 到 1.8.7-p72 和 1.9 中的 REXML 模組允許內容相依的攻擊者透過具有遞回巢狀實體的 XML 文件造成拒絕服務 (CPU 消耗)。亦即 XML 實體大量增加。
CVE-2008-3905：
Ruby 1.8.5 和更舊版本、 1.8.6 1.8.6-p287 之前的 版、 1.8.7 1.8.7-p72 之前的 版以及 1.9 r18423 和更舊版本中的 resolv.rb 針對 DNS 要求使用循序交易 ID 和常數來源連接埠遠端攻擊者可偽造 DNS 回應此弱點與 CVE-2008-1447不同。
Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的套件。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 283921
檔案名稱: miracle_linux_AXSA-2008-514.nasl
版本: 1.1
類型: local
已發布: 2026/1/14
已更新: 2026/1/14
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.6
Vendor
Vendor Severity: High
CVSS v2
風險因素: High
基本分數: 7.5
時間性分數: 5.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2008-3657
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2008-3443
弱點資訊
CPE: p-cpe:/a:miracle:linux:ruby, p-cpe:/a:miracle:linux:ruby-irb, p-cpe:/a:miracle:linux:ruby-mode, p-cpe:/a:miracle:linux:ruby-docs, cpe:/o:miracle:linux:3, p-cpe:/a:miracle:linux:ruby-devel, p-cpe:/a:miracle:linux:ruby-libs, p-cpe:/a:miracle:linux:ruby-tcltk
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2008/12/5
弱點發布日期: 2008/8/11
參考資訊
CVE: CVE-2008-3443, CVE-2008-3655, CVE-2008-3656, CVE-2008-3657, CVE-2008-3790, CVE-2008-3905