Ruby 2.2.4 的更新包含 CVE-2009-5147 和 CVE-2015-7551 的安全性修正。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2018:0583 公告中提及的多個弱點影響。

  - ruby：DL::dlopen 可使用受污染的程式庫名稱開啟程式庫 (CVE-2009-5147、CVE-2015-7551)

  - ruby：Kernel.sprintf 中的緩衝區不足弱點 (CVE-2017-0898)

  - rubygems：在 gemspec 的摘要欄位中逸出序列 (CVE-2017-0899)

  - rubygems：gem 規格的摘要長度中沒有大小限制 (CVE-2017-0900)

  - rubygems：因不正確驗證規格名稱而導致任意檔案覆寫 (CVE-2017-0901)

  - rubygems：DNS 劫持弱點 (CVE-2017-0902)

  - rubygems：透過 YAML 格式化的 gem 規格造成不安全的物件還原序列化 (CVE-2017-0903)

  - ruby：在 WEBrick 的基本驗證中出現逸出序列插入弱點 (CVE-2017-10784)

  - ruby：OpenSSL ASN1 解碼中的緩衝區不足 (CVE-2017-14033)

  - ruby：JSON.generate 呼叫期間的任意堆積暴露 (CVE-2017-14064)

  - ruby：Net::FTP 中的命令插入弱點 (CVE-2017-17405)

  - ruby：lib/resolv.rb:lazy_initialize() 中的命令插入允許任意程式碼執行 (CVE-2017-17790)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Ruby 1.8、 1.9.0、 1.9.2、 1.9.3、 2.0.0 patchlevel 648 之前的 [] 和 [ 2.1.8 之前的 2.1 ] 中的 DL::dlopen，會開啟具有受污染名稱的程式庫。 (CVE-2009-5147)

請注意，Nessus 依賴供應商報告的套件存在。

據發現，Ruby DL: : dlopen 未正確處理開啟的程式庫。攻擊者可能會利用此問題開啟具污染名稱的程式庫。此問題僅適用 Ubuntu 14.04 LTS。
(CVE-2009-5147)

Tony Arcieri、Jeffrey Walton 和 Steffan Ullrich 發現 Ruby OpenSSL 延伸模組未正確處理主機名稱萬用字元相符。
此問題僅適用於 Ubuntu 14.04 LTS。(CVE-2015-1855)

Christian Hofstaedtler 發現 Ruby Fiddle: : Handle 未正確處理某些特製字串。攻擊者可利用此問題，造成拒絕服務或可能執行任意程式碼。此問題僅適用於 Ubuntu 14.04 LTS。(CVE-2015-7551)

據發現，Ruby Net: : SMTP 未正確處理 CRLF 序列。遠端攻擊者可能會利用此問題插入 SMTP 命令。(CVE-2015-9096)

Marcin Noga 發現 Ruby 未正確處理某些 TclTkIp 類別方法中的引數。攻擊者可能利用此問題執行任意程式碼。這個問題只會影響 Ubuntu 14.04 LTS。
(CVE-2016-2337)

據發現，Ruby Fiddle: : Function.new 未正確處理某些引數。攻擊者可能利用此問題執行任意程式碼。這個問題只會影響 Ubuntu 14.04 LTS。
(CVE-2016-2339)

據發現，Ruby 未正確處理 GCM 模式中的初始化向量 (IV)。攻擊者可能會利用此問題繞過加密。(CVE-2016-7798)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

‘sheepman’ 已修正 Ruby 1.8 中的一個弱點：DL::dlopen 可能開啟名稱受污染的程式庫，即使 $SAFE > 0 也是如此。

針對 Debian 6 ‘Squeeze’，此問題已於 ruby1.8 1.8.7.302-2squeeze5 版中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

'sheepman' 已修正 Ruby 1.9.1 中的一個弱點：DL::dlopen 可開啟具有受污染名稱的程式庫，即使 $SAFE > 0 也是如此。

針對 Debian 6 'Squeeze'，此問題已於 ruby1.9.1 1.9.2.0-2+deb6u7 中修正

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
89454	Fedora 23︰ruby-2.2.4-47.fc23 (2015-eef21b972e)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
194057	RHEL 6 / 7：rh-ruby22-ruby (RHSA-2018:0583)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/4/15	critical
89397	Fedora 22︰ruby-2.2.4-47.fc22 (2015-c4409eb73a)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
217112	Linux Distros 未修補弱點：CVE-2009-5147	Nessus	Misc.	2025/3/3	2025/8/21	high
101974	Ubuntu 14.04 LTS / 16.04 LTS：Ruby 弱點 (USN-3365-1)	Nessus	Ubuntu Local Security Checks	2017/7/26	2025/9/3	critical
85654	Debian DLA-299-1：ruby1.8 安全性更新	Nessus	Debian Local Security Checks	2015/8/27	2021/1/11	high
85655	Debian DLA-300-1：ruby1.9.1 安全性更新	Nessus	Debian Local Security Checks	2015/8/27	2021/1/11	high

偵測

搜尋 Plugin

high

critical

high

high

critical

high

high