遠端 MiracleLinux 3 主機已安裝受到 AXSA:2008-514:03 公告中所提及的多個弱點影響的套件。

    Ruby 是解譯的指令碼語言可進行快速而簡單的物件導向程式設計。它有許多功能可以處理文字檔案和執行系統管理工作 (如同在 Perl 中一樣)。它簡單、直接且可延伸。
    修正的錯誤：
    CVE-2008-3443：
    Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71以及 1.9 至 r18423 中的規則運算式引擎 (regex.c) 允許遠端攻擊者在迴圈和損毀)透過對 Ruby 通訊端的多個長要求造成此問題與記憶體配置失敗有關 Webrick 即為一例。
    CVE-2008-3655：
    Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71以及 1.9 至 r18423 未在各種安全層級正確限制對重要變數和方法的存取權其允許內容相依的攻擊者透過 (1) untrace_var、(2) $PROGRAM_NAME和 (3) 安全層級 4 的 syslog以及 (4) 安全層級 1 至 3 的不安全方法繞過預定的存取限制。
    CVE-2008-3656：
    在 Ruby 1.8.5 和更舊版本、 1.8.6 到 1.8.6-p286、 1.8.7 到 1.8.7-p71 以及 1.9 到 r18423 的 WEBrick::HTTP::DefaultFileHandler 中WEBrick::HTTP::DefaultFileHandler 有一個演算法複雜弱點可讓內容相依的攻擊者造成透過由回溯規則運算式處理的特製 HTTP 要求造成的拒絕服務 (CPU 消耗)。
    CVE-2008-3657：
    Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71、 1.9 至 r18423 中的 dl 模組未檢查輸入的污染情況進而允許內容相依的攻擊者繞過安全層級並透過存取使用 DL.dlopen 的程式庫來執行危險函式。
    CVE-2008-3790：
    Ruby 1.8.6 到 1.8.6-p287、 1.8.7 到 1.8.7-p72 和 1.9 中的 REXML 模組允許內容相依的攻擊者透過具有遞回巢狀實體的 XML 文件造成拒絕服務 (CPU 消耗)。亦即 XML 實體大量增加。
    CVE-2008-3905：
    Ruby 1.8.5 和更舊版本、 1.8.6 1.8.6-p287 之前的 版、 1.8.7 1.8.7-p72 之前的 版以及 1.9 r18423 和更舊版本中的 resolv.rb 針對 DNS 要求使用循序交易 ID 和常數來源連接埠遠端攻擊者可偽造 DNS 回應此弱點與 CVE-2008-1447不同。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 3 主機已安裝受到多個弱點影響的套件如 AXSA:2008-471:02 公告中所提及。

    Ruby 是解譯的指令碼語言可進行快速而簡單的物件導向程式設計。它有許多功能可以處理文字檔案和執行系統管理工作 (如同在 Perl 中一樣)。它簡單、直接且可延伸。
    修正的錯誤：
    CVE-2008-3443：
    Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71以及 1.9 至 r18423 中的規則運算式引擎 (regex.c) 允許遠端攻擊者在迴圈和損毀)透過對 Ruby 通訊端的多個長要求造成此問題與記憶體配置失敗有關 Webrick 即為一例。
    CVE-2008-3655：
    Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71以及 1.9 至 r18423 未在各種安全層級正確限制對重要變數和方法的存取權其允許內容相依的攻擊者透過 (1) untrace_var、(2) $PROGRAM_NAME和 (3) 安全層級 4 的 syslog以及 (4) 安全層級 1 至 3 的不安全方法繞過預定的存取限制。
    CVE-2008-3656：
    在 Ruby 1.8.5 和更舊版本、 1.8.6 到 1.8.6-p286、 1.8.7 到 1.8.7-p71 以及 1.9 到 r18423 的 WEBrick::HTTP::DefaultFileHandler 中WEBrick::HTTP::DefaultFileHandler 有一個演算法複雜弱點可讓內容相依的攻擊者造成透過由回溯規則運算式處理的特製 HTTP 要求造成的拒絕服務 (CPU 消耗)。
    CVE-2008-3657：
    Ruby 1.8.5 和更舊版本、 1.8.6 至 1.8.6-p286、 1.8.7 至 1.8.7-p71、 1.9 至 r18423 中的 dl 模組未檢查輸入的污染情況進而允許內容相依的攻擊者繞過安全層級並透過存取使用 DL.dlopen 的程式庫來執行危險函式。
    CVE-2008-3790：
    Ruby 1.8.6 到 1.8.6-p287、 1.8.7 到 1.8.7-p72 和 1.9 中的 REXML 模組允許內容相依的攻擊者透過具有遞回巢狀實體的 XML 文件造成拒絕服務 (CPU 消耗)。亦即 XML 實體大量增加。
    CVE-2008-3905：
    Ruby 1.8.5 和更舊版本、 1.8.6 1.8.6-p287 之前的 版、 1.8.7 1.8.7-p72 之前的 版以及 1.9 r18423 和更舊版本中的 resolv.rb 針對 DNS 要求使用循序交易 ID 和常數來源連接埠遠端攻擊者可偽造 DNS 回應此弱點與 CVE-2008-1447不同。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

此 ruby 更新可改善允許攻擊者使用已撤銷憑證的 openssl 函式 OCSP_basic_verify() 傳回值 (CVE-2009-0642)。增加 DNS 識別碼的熵 (CVE-2008-3905) 以防止偽造攻擊。剖析 XML 資料的程式碼容易受到拒絕服務錯誤影響 (CVE-2008-3790)。剖析 HTTP 要求時 (CVE-2008-3656) 以及藉由使用造成高 CPU 負載的 regex 引擎 (CVE-2008-3443)，可能針對函式 WEBrick::HTTP::DefaultFileHandler() 中的演算法複雜度發動攻擊。已改善 Ruby 的存取限制程式碼 (CVE-2008-3655) 及使用 DL.dlopen() 函式的安全層級處理 (CVE-2008-3657)，還有大十進位處理 (CVE-2009-1904) 問題。
不可能再發生繞過 HTTP 基本驗證 (authenticate_with_http_digest) 情形。

Ruby DNS 解析器程式庫 resolv.rb 在傳送 DNS 要求時使用可預測交易 ID 與固定來源連接埠。遠端攻擊者可利用此瑕疵偽造對於 DNS 查詢的惡意回覆。(CVE-2008-3905)

Ruby 的 XML 文件剖析模組 (REXML) 容易透過含有大型 XML 實體定義遞迴的 XML 文件遭受拒絕服務攻擊。特製的 XML 檔案可導致使用 REXML 模組的 Ruby 應用程式使用過量的 CPU 與記憶體。
(CVE-2008-3790)

在 Ruby 的 DL 模組中發現一個不充分「污染」檢查瑕疵，可提供對於 C 語言函式的直接存取權。攻擊者可利用此瑕疵，透過從不受信任的受污染輸入中以引數呼叫外部 C 函式，來繞過預定的安全等級限制。(CVE-2008-3657)

在 Ruby 的 HTTP 伺服器工具組 WEBrick 中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製的 HTTP 要求至 WEBrick 伺服器，可導致伺服器使用過量的 CPU 時間。(CVE-2008-3656)

在 Ruby 的安全等級限制中發現一些瑕疵。
攻擊者可能會建立特製的惡意指令碼，這可能會允許繞過某些安全等級限制。(CVE-2008-3655)

在 Ruby 的規則運算式引擎中發現一個拒絕服務瑕疵。如果 Ruby 指令碼嘗試透過規則運算式處理大量資料，則可導致 Ruby 進入無限迴圈並發生損毀。(CVE-2008-3443)

來自 Red Hat 安全性公告 2008:0897：

現已提供適用於 Red Hat Enterprise Linux 4 與 5 的更新版 ruby 套件，可修正一些安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Ruby 是一套解譯式指令碼語言，可輕鬆快速編寫物件導向程式。

Ruby DNS 解析器程式庫 resolv.rb 在傳送 DNS 要求時使用可預測交易 ID 與固定來源連接埠。遠端攻擊者可利用此瑕疵偽造對於 DNS 查詢的惡意回覆。(CVE-2008-3905)

Ruby 的 XML 文件剖析模組 (REXML) 容易透過含有大型 XML 實體定義遞迴的 XML 文件遭受拒絕服務攻擊。特製的 XML 檔案可導致使用 REXML 模組的 Ruby 應用程式使用過量的 CPU 與記憶體。
(CVE-2008-3790)

在 Ruby 的 DL 模組中發現一個不充分「污染」檢查瑕疵，可提供對於 C 語言函式的直接存取權。攻擊者可利用此瑕疵，透過從不受信任的受污染輸入中以引數呼叫外部 C 函式，來繞過預定的安全等級限制。(CVE-2008-3657)

在 Ruby 的 HTTP 伺服器工具組 WEBrick 中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製的 HTTP 要求至 WEBrick 伺服器，可導致伺服器使用過量的 CPU 時間。(CVE-2008-3656)

在 Ruby 的安全等級限制中發現一些瑕疵。
攻擊者可能會建立特製的惡意指令碼，這可能會允許繞過某些安全等級限制。(CVE-2008-3655)

在 Ruby 的規則運算式引擎中發現一個拒絕服務瑕疵。如果 Ruby 指令碼嘗試透過規則運算式處理大量資料，則可導致 Ruby 進入無限迴圈並發生損毀。(CVE-2008-3443)

Ruby 的使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。

Vincent Danen 報告稱，Red Hat 安全性公告 RHSA-2008:0897 未正確解決 WEBrick (Ruby HTTP 伺服器工具組) 中的拒絕服務瑕疵，這又稱為 CVE-2008-3656。此瑕疵允許遠端攻擊者傳送特製的 HTTP 要求至 WEBrick 伺服器，從而導致伺服器使用過量的 CPU 時間。此更新可正確解決此瑕疵。(CVE-2008-4310)

Rocky Linux 9.2 主機上安裝的多個套件受到 CIQ ciqsa-2026_0492 公告中提及的多個弱點影響。

    此公告彙總了 CIQ LTS 9.2中 ruby SRPM 的安全修正。它解決了 35 個 CVE：
    CVE-2012-4522、CVE-2011-4815、CVE-2008-1891、CVE-2021-31799CVE-2022-28739、 和 30 個。

Tenable 已直接從 CIQ 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
283921	MiracleLinux 3ruby-1.8.5-5.5 (AXSA:2008-514:03)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/1/14	high
291365	MiracleLinux 3ruby-1.8.5-5.5 (AXSA:2008-471:02)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	high
51760	SuSE 10 安全性更新：ruby (ZYPP 修補程式編號 6338)	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/14	high
60485	Scientific Linux 安全性更新：SL3.x、SL4.x、SL5.x i386/x86_64 上的 ruby	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
67752	Oracle Linux 4 / 5 : ruby (ELSA-2008-0897)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	high
60502	Scientific Linux 安全性更新：SL4.x、SL5.x i386/x86_64 上的 ruby	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
357264	Rocky Linux 9.2 [CIQ] 安全性更新：ruby / ruby-debuginfo / ruby-debugsource / ruby-default-gems / etc 多個弱點（ciqsa-2026_0492）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/13	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high