FreeBSD：ruby -- 插入非法 NULL 字元所造成的意外檔案建立 (3decc87d-2498-11e2-b0c7-000d601460a4)
medium Nessus Plugin ID 62792
語言:
概要
遠端 FreeBSD 主機缺少安全性相關更新。說明
官方 Ruby 網站報告：發現一個弱點，檔案建立常式可透過在檔案路徑中策略性地插入 NULL 來建立非預定檔案。此弱點已報告為 CVE-2012-4522。
Ruby 可將任意二進位模式處理為字串，包括 NULL 字元。另一方面，OSes 與其他程式庫則否。它們通常會將 NULL 視為字串結尾標記。所以要使其與 Ruby 介接，應正確避免 NULL 字元。
但是，像是 IO#open 等方法並不會檢查傳遞給它們的檔案名稱，而只是將這些字串傳遞至較低層的常式。這會導致建立意外檔案。
解決方案
更新受影響的套件。另請參閱
https://access.redhat.com/security/cve/cve-2012-4522
Plugin 詳細資訊
嚴重性: Medium
ID: 62792
檔案名稱: freebsd_pkg_3decc87d249811e2b0c7000d601460a4.nasl
版本: 1.10
類型: Local
已發布: 2012/11/2
已更新: 2021/1/6
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.3
百分位: 53.06
CVSS v2
風險因素: Medium
基本分數: 5
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
弱點資訊
CPE: p-cpe:/a:freebsd:freebsd:ruby, cpe:/o:freebsd:freebsd
必要的 KB 項目: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info
修補程式發佈日期: 2012/11/1
弱點發布日期: 2012/10/12
參考資訊
CVE: CVE-2012-4522