遠端主機受到 GLSA-201710-18 中所述的弱點影響 (Ruby：多個弱點) 在 Ruby 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。影響：遠端攻擊者可執行任意程式碼、造成拒絕服務情形，或是取得敏感資訊。因應措施：目前尚無已知的因應措施。

CentOS Linux 7 主機已安裝的套件會受到 TuxCare CENTOS7：CLSA-2025：1759222758 公告中提及的多個弱點影響。

  - _cancel_eval Ruby 的 TclTkIp 類別方法中存在類型混淆。攻擊者傳遞與 String 不同類型的物件作為 retval 引數，可能會導致任意程式碼執行。（CVE-2016-2337）

  - 當 Oniguruma 6.2.0 用於 Ruby 2.4.1 及之前版本的 Oniguruma-mod，以及 PHP 7.1.5 及之前版本的 mbstring 時，在其中發現一個問題。match_at() 在搜尋規則運算式期間發生超出邊界堆疊讀取。match_at() 中存在與驗證和存取順序有關的邏輯錯誤，可導致堆疊緩衝區中發生超出邊界讀取。(CVE-2017-9224)

  - 當 Oniguruma 6.2.0 用於 Ruby 2.4.1 及之前版本的 Oniguruma-mod，以及 PHP 7.1.5 及之前版本的 mbstring 時，在其中發現一個問題。mbc_enc_len() 在搜尋規則運算式期間發生超出邊界堆疊讀取。
    forward_search_range() 中的 reg->dmin 無效處理可導致無效的指標解除參照，即來自堆疊緩衝區的超出邊界讀取。(CVE-2017-9227)

  - 當 Oniguruma 6.2.0 用於 Ruby 2.4.1 及之前版本的 Oniguruma-mod，以及 PHP 7.1.5 及之前版本的 mbstring 時，在其中發現一個問題。bitset_set_range() 在規則運算式編譯期間發生堆積超出邊界寫入，這是因為來自不正確之狀態轉換的未初始化變數所致。parse_char_class() 中不正確的狀態轉換可建立使重要本機變數未初始化的執行路徑，直到該路徑當做索引使用為止，進而導致超出邊界寫入記憶體損毀。
    (CVE-2017-9228)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Ruby 2.1 中發現數個弱點。CVE-2016-2337 _cancel_eval Ruby 的 TclTkIp 類別方法存在類型混淆。攻擊者將與 String 不同的物件類型作為 「retval」引數傳遞可導致任意程式碼執行。CVE-2018-1000073 RubyGems 在 package.rb 的 install_location 函式中含有一個目錄遊走弱點，當寫入 root 外部符號連結的 basedir 時，此弱點可導致路徑遊走。CVE-2018-1000074 RubyGems 在擁有者命令中含有一個未受信任資料還原序列化弱點，可導致程式碼執行。若要惡意利用此攻擊，必須透過特製的 YAML 檔案，由受害者在 gem 上執行 `gem owner` 命令。針對 Debian 8「Jessie」，這些問題已在 2.1.5-2~deb8u5 版本中修正。我們建議您升級 ruby2.1 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，Ruby DL: : dlopen 未正確處理開啟的程式庫。攻擊者可能會利用此問題開啟具污染名稱的程式庫。此問題僅適用 Ubuntu 14.04 LTS。
(CVE-2009-5147)

Tony Arcieri、Jeffrey Walton 和 Steffan Ullrich 發現 Ruby OpenSSL 延伸模組未正確處理主機名稱萬用字元相符。
此問題僅適用於 Ubuntu 14.04 LTS。(CVE-2015-1855)

Christian Hofstaedtler 發現 Ruby Fiddle: : Handle 未正確處理某些特製字串。攻擊者可利用此問題，造成拒絕服務或可能執行任意程式碼。此問題僅適用於 Ubuntu 14.04 LTS。(CVE-2015-7551)

據發現，Ruby Net: : SMTP 未正確處理 CRLF 序列。遠端攻擊者可能會利用此問題插入 SMTP 命令。(CVE-2015-9096)

Marcin Noga 發現 Ruby 未正確處理某些 TclTkIp 類別方法中的引數。攻擊者可能利用此問題執行任意程式碼。這個問題只會影響 Ubuntu 14.04 LTS。
(CVE-2016-2337)

據發現，Ruby Fiddle: : Function.new 未正確處理某些引數。攻擊者可能利用此問題執行任意程式碼。這個問題只會影響 Ubuntu 14.04 LTS。
(CVE-2016-2339)

據發現，Ruby 未正確處理 GCM 模式中的初始化向量 (IV)。攻擊者可能會利用此問題繞過加密。(CVE-2016-7798)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2025-10964:04 公告中所提及。

    * CVE-2016-2337修正 _cancel_eval Ruby TclTkIp 類別方法中的類型混淆以防止任意程式碼執行
    * CVE-2017-9224在 match_at() 中修正規則運算式搜尋期間的堆疊超出邊界讀取
    * CVE-2017-9227修正 mbc_enc_len() 中的堆疊超出邊界讀取和 forward_search_range() 中的無效指標解除參照
    * CVE-2017-9228透過初始化重要本機變數修正 bitset_set_range() 和 parse_char_class() 中的堆積超出邊界寫入 CVE(s)
    CVE-2017-9227 CVE-2017-9228 CVE-2016-2337 CVE-2017-9224

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
103911	GLSA-201710-18：Ruby：多個弱點	Nessus	Gentoo Local Security Checks	2017/10/18	2025/11/18	critical
360983	CentOS Linux 7 [TuxCare] 安全性更新：ruby / ruby-devel / ruby-doc / ruby-irb / ruby-libs / ruby-tcltk / etc 多個弱點（CENTOS7：CLSA-2025：1759222758）	Nessus	CentOS Local Security Checks	2026/10/1	2026/10/1	critical
112167	Debian DLA-1480-1：ruby2.1 安全性更新	Nessus	Debian Local Security Checks	2018/8/29	2024/8/14	critical
101974	Ubuntu 14.04 LTS / 16.04 LTS：Ruby 弱點 (USN-3365-1)	Nessus	Ubuntu Local Security Checks	2017/7/26	2025/9/3	critical
283434	MiracleLinux 7ruby-2.0.0.648-39.0.4.el7.AXS7 (AXSA:2025-10964:04)	Nessus	Miracle Linux Local Security Checks	2026/1/13	2026/1/13	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical