遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2022: 0581 公告中提及的多個弱點影響。

  - ruby：File.fnmatch 和 File.fnmatch? 的 NUL 插入弱點 (CVE-2019-15845)

  - ruby：WEBrick 的 Digest 存取驗證中存在的規則運算式拒絕服務弱點 (CVE-2019-16201)

  - ruby：WEBrick 中存在 HTTP 回應分割 (CVE-2019-16254)

  - ruby：透過 Shell#test / Shell#[] 的命令引數插入程式碼 (CVE-2019-16255)

  - rubygem-json：JSON 中存在不安全物件建立弱點 (CVE-2020-10663)

  - ruby：BasicSocke#tread_nonblock 方法會導致資訊洩漏 (CVE-2020-10933)

  - ruby：WEBrick 中可能存在 HTTP 要求走私弱點 (CVE-2020-25613)

  - rubygem-bundler：可能從其他來源安裝具有明確來源的 gem 相依項 (CVE-2020-36327)

  - ruby：REXML 中的 XML 來回行程弱點 (CVE-2021-28965)

  - rubygem-rdoc：RDoc 中的命令插入弱點 (CVE-2021-31799)

  - ruby：FTP PASV 命令回應可造成 Net: : FTP 連線至任意主機 (CVE-2021-31810)

  - ruby：Net: : IMAP 中的 StartTLS 去除弱點 (CVE-2021-32066)

  - ruby：日期剖析方法的規則運算式拒絕服務弱點 (CVE-2021-41817)

  - ruby：CGI: : Cookie.parse 中的 Cookie 前置詞偽造弱點 (CVE-2021-41819)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2022: 0708 公告中提及的弱點影響。

  - rubygem-bundler：可能從其他來源安裝具有明確來源的 gem 相依項 (CVE-2020-36327)

  - rubygem-rdoc：RDoc 中的命令插入弱點 (CVE-2021-31799)

  - ruby：FTP PASV 命令回應可造成 Net: : FTP 連線至任意主機 (CVE-2021-31810)

  - ruby：Net: : IMAP 中的 StartTLS 去除弱點 (CVE-2021-32066)

  - ruby：日期剖析方法的規則運算式拒絕服務弱點 (CVE-2021-41817)

  - ruby：CGI: : Cookie.parse 中的 Cookie 前置詞偽造弱點 (CVE-2021-41819)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-3020 公告中提及的多個弱點影響。

  - Bundler 1.16.0 到 2.2.9 以及 2.2.11 到 2.2.16 版有時會根據最高的 gem 版本號碼選擇相依性來源，這表示它可能會選擇在公開來源發現的惡意 gem，即使預定選擇的私人 gem 是應用程式明確依賴的另一個私人 gem 的依賴項，亦不例外。注意：針對每個產品中的每個相依性混淆問題都使用 CVE-2021-24105 並不正確。(CVE-2020-36327)

  - 在 RDoc 3.11 版至 6.x 的 6.3.1 之前版本 (與 Ruby 3.0.1 及之前所有版本一起發行) 中，通過檔案名稱中的 | 和標籤可以執行任意程式碼。(CVE-2021-31799)

  在 Ruby 2.6.7 及之前的版本、2.7.3 及之前的 2.7.x 版和 3.0.1 及之前的 3.x 版中發現一個問題。Net：: 當 StartTLS 因未知回應而失敗時，IMAP 不會提出例外狀況，這可能會允許攔截式攻擊者利用用戶端和登錄檔之間的網路位置來封鎖 StartTLS 命令，進而繞過 TLS 保護，又稱 StartTLS 去除攻擊。(CVE-2021-32066)

  在 Ruby 2.6.7 及之前的版本、2.7.3 及之前的 2.7.x 版和 3.0.1 及之前的 3.x 版中發現一個問題。惡意 FTP 伺服器可使用 PASV 回應誘騙 Net：: FTP 連回指定的 IP 位址和連接埠。
    這可能會使 curl 擷取私人且未揭露的服務相關資訊 (例如，攻擊者可執行連接埠掃描和服務標題擷取)。(CVE-2021-31810)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
158216	RHEL 8：ruby：2.6 (RHSA-2022: 0581)	Nessus	Red Hat Local Security Checks	2022/2/22	2024/11/7	high
158464	RHEL 7：rh-ruby26-ruby (RHSA-2022: 0708)	Nessus	Red Hat Local Security Checks	2022/3/1	2024/11/7	high
152264	Oracle Linux 8：ruby：2.7 (ELSA-2021-3020)	Nessus	Oracle Linux Local Security Checks	2021/8/6	2024/11/1	high

偵測

搜尋 Plugin

high

high

high