在 Ruby 語言解譯器 1.9.1 版中發現兩個弱點。

CVE-2012-5371

Jean-Philippe Aumasson 發現，Ruby 可在沒有正確限制預先觸發雜湊衝突能力的情況下計算雜湊值，進而允許內容相依的攻擊者造成拒絕服務 (CPU 消耗)。此弱點與 CVE-2011-4815 不同。

CVE-2013-0269

Thomas Hollstegge 和 Ben Murphy 發現，適用於 Ruby 的 JSON gem 允許遠端攻擊者透過特製的 JSON 文件，觸發任意 Ruby 符號或特定內部物件的建立，藉此造成拒絕服務 (資源消耗) 或繞過大量指派保護機制。

針對 squeeze 發行版本，這些問題已在 ruby1.9.1 的 1.9.2.0-2+deb6u5 版本中修正。建議您升級 ruby1.9.1 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-263-1：ruby1.9.1 安全性更新

high Nessus Plugin ID 84494

找不到變更記錄