CentOS Linux 7 [TuxCare] 安全性更新：ruby / ruby-devel / ruby-doc / ruby-irb / ruby-libs / ruby-tcltk / etc （CENTOS7：CLSA-2026：1789389792）

high Nessus Plugin ID 361911

語言:

概要

CentOS Linux 主機缺少一個或多個安全性更新。

說明

CentOS Linux 7 主機已安裝的套件會受到 TuxCare CENTOS7：CLSA-2026：1789389792 公告中提及的弱點影響。

- 之前 0.7.2 在 Ruby 的 resolve gem 中發現問題。Resolv：：DNS：：Resource.get_class、Resolv：：DNS：：Resource：：Generic.create 和 Resolv：：DNS：：SvcParam：：Generic.create 會針對解碼回應時遇到的每個未知DNS資源記錄（類型、類別）配對或每個未知的 SvcParamKey 產生新的類別。每個產生的類別都會永久註冊為 Resource （或 SvcParam：：Generic）上的常數，以及類別查閱雜湊（ClassHash）中的專案，因此在捨棄回應之後，類別仍可透過該常數連線。類型和類別各為 16 位元值，因此控制 DNS 回應（詐騙回應，或惡意或劫持的上游 DNS 伺服器）的攻擊者大約有 2^32 個不同的（類型、類別）配對可供選擇。攜帶數萬種不同未知類型的幾百 KB 的單個響應會永久增加進程內存數十兆位元組;重複的回應會無限制地累積，而且永遠不會透過記憶體回收來回收，因為常數會讓每個類別保持活動狀態。在受攻擊者影響的 DNS 回應上呼叫 Resolv：：DNS：：Message.decode 的任何程式碼路徑都會受到影響。resolv 是預設的 gem，因此可以從普通 Ruby 安裝中存取，而無需任何額外的相依性。（CVE-2026-80212）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。