遠端 MiracleLinux 3 主機已安裝受到 AXSA:2008-86:01 公告中所提及的多個弱點影響的套件。

    Ruby 是一套解譯式指令碼語言，可輕鬆快速編寫物件導向程式。
    CVE 2008-2662在 Ruby 1.8.4 和更舊版本、 1.8.5 1.8.5-p231 之前的版本、 1.8.6 1.8.6-p230 之前的版本、1.8.7-p22 之前的 1.8.7 及 1.9.0 之前的 1.9.0-2 函式中多個整數溢位允許內容相依的攻擊者透過可觸發記憶體損毀的未知向量執行任意程式碼或造成拒絕服務此問題與 CVE-2008-2663、 CVE-2008-2664和 CVE-2008-2725不同。
    注意截至 20080624與 Ruby 相關的多個 CVE 識別碼使用方式一直存在不一致。此 CVE 描述應視為具有權威性但可能會變更。
    CVE 2008-2663在 Ruby 1.8.4 和更舊版本中、 1.8.5 1.8.5-p231 之前的 版、 1.8.6 1.8.6-p230 之前的 以及 1.8.7-p22 之前的 1.8.7 中多個整數溢位允許內容相依攻擊者會透過未知向量執行任意程式碼或造成拒絕服務此問題與 CVE-2008-2662、 CVE-2008-2664和 CVE-2008-2725不同。注意截至 20080624與 Ruby 相關的多個 CVE 識別碼使用方式一直存在不一致。CVE 描述應視為具有權威性但可能有所變更。
    CVE 2008-2664Ruby 1.8.4 和更舊版本、1.8.5-p231 之前的 1.8.51.8.6 版、1.8.6-p230 之前的 1.8.7 [] 版、1.8.7-p22 之前的 以及 1.9.0 之前的 1.9.0-2 中的 rb_str_format 函式允許內容相依的攻擊者透過與 alloca 相關的不明向量觸發記憶體損毀這是與 CVE-2008-2662、 CVE-2008-2663和 CVE-2008-2725不同的問題。注意截至 20080624與 Ruby 相關的多個 CVE 識別碼使用方式一直存在不一致。CVE 描述應視為具有權威性但可能有所變更。
    CVE 2008-2725在 Ruby 1.8.4 和更舊版本、 1.8.5 1.8.5-p231 之前的 版、 1.8.6 1.8.6-p230 之前的 以及 1.8.7-p22 之前的 1.8.7 版中rb_ary_splice 函式的整數溢位允許內容相依的攻擊者透過不明向量 (即 REALLOC_N 變體) 觸發記憶體損毀此問題與 CVE-2008-2662、 CVE-2008-2663和 CVE-2008-2664不同。注意截至 20080624與 Ruby 相關的多個 CVE 識別碼使用方式一直存在不一致。CVE 描述應視為具有權威性但可能有所變更。
    CVE 2008-2726在 Ruby 1.8.4 和更舊版本、 1.8.5 1.8.5-p231 之前的 [] 1.8.6-p230 之前的 1.8.6 1.8.7-p22 之前的 1.8.7 與 [] 之前的 中[] 和更舊版本、 1.9.0 和 1.9.0-2 允許內容相依的攻擊者觸發記憶體損毀亦即 beg + rlen 問題。注意截至 20080624與 Ruby 相關的多個 CVE 識別碼使用方式一直存在不一致。CVE 描述應視為具有權威性但可能有所變更。
    CVE 2008-2376在修訂版 17756 之前的 Ruby 中array.c 的 rb_ary_fill 函式中存有整數溢位內容相依的攻擊者因而得以透過以大於 ARY_MAX_SIZE 的開始 (即 beg) 引數。注意此問題之所以存在是因為其他密切相關的整數溢位修正不完整。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3ruby-1.8.5-5.1.1AXS3 (AXSA:2008-86:01)

critical Nessus Plugin ID 284321

版本 1.1