來自 Red Hat 安全性公告 2012:0070：

現已提供適用於 Red Hat Enterprise Linux 4 與 5 的更新版 ruby 套件，可修正兩個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Ruby 是可延伸的解譯式物件導向指令碼語言。它具有處理文字檔案及執行系統管理工作的功能。

在 Ruby 的關聯陣列 (雜湊) 實作中，發現了拒絕服務瑕疵。將資料插入陣列時，攻擊者若能對 Ruby 應用程式提供大量輸入 (例如，傳送至網路應用程式的 HTTP POST 要求參數) 作為金鑰使用，便可觸發多個雜湊函式衝突，使陣列作業耗用大量 CPU 時間。為了減輕此問題，已將隨機化加入雜湊函式，以降低攻擊者成功引發有意衝突的機會。(CVE-2011-4815)

據發現，Ruby 在子處理程序分支後並未重新初始化 PRNG (假隨機數產生器)。這最後可導致 PRNG 兩次都傳回相同的結果。持續追蹤單一子處理程序傳回值的攻擊者可利用此瑕疵，預測 PRNG 將透過其他子處理程序傳回的值 (只要父處理程序持續)。(CVE-2011-3009)

Red Hat 要感謝 oCERT 報告 CVE-2011-4815。oCERT 確認 Julian Wälde 和 Alexander Klink 為 CVE-2011-4815 的原始報告者。

建議所有 ruby 使用者皆升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。

偵測

Oracle Linux 4 / 5 : ruby (ELSA-2012-0070)

high Nessus Plugin ID 68441

找不到變更記錄