0.71.0より前のRubyGem exconにおいて、永続的接続に関する競合状態があり、（タイムアウトなどで）接続が中断されると、ソケット上にデータが残っていました。その後のリクエストでは、このデータを読み取り、それ以前の応答のコンテンツを返します。

Debian 8「Jessie」では、この問題はバージョン0.33.0-2+deb8u1で修正されました。

使用しているruby-exconのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

In RubyGem excon before 0.71.0, there was a race condition around persistent connections, where a connection which is interrupted (such as by a timeout) would leave data on the socket. Subsequent requests would then read this data, returning content from the previous response.

For Debian 8 'Jessie', this problem has been fixed in version 0.33.0-2+deb8u1.

We recommend that you upgrade your ruby-excon packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 0.71.0之前的 RubyGem excon 中存在持續連線周圍的爭用情形其中被中斷的連線 (例如因逾時而中斷) 會將資料留在通訊端上。隨後，後續要求會讀取此資料，並傳回來自先前回應的內容。爭用情形視窗似乎很短且很難有目的地惡意利用此弱點。 (CVE-2019-16779)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

在 0.71.0 之前的 RubyGem excon 中，持續連線周圍存在一個爭用情形，即中斷 (例如由逾時造成) 的連線會在通訊端上留下資料。隨後，後續要求會讀取此資料，並傳回來自先前回應的內容。

針對 Debian 8「Jessie」，已在 0.33.0-2+deb8u1 版本中修正此問題。

建議您升級 ruby-excon 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

0.71.0 之前的 RubyGem excon 中存在围绕持续连接的争用条件，其中被中断的连接（如超时）会导致数据停留在套接字上。后续请求随后会读取此数据，返回之前响应中的内容。

对于 Debian 8“Jessie”，已在版本 0.33.0-2+deb8u1 中修复此问题。

我们建议您升级 ruby-excon 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 0.71.0より前の RubyGem excon では、タイムアウトなどによる接続中断によってソケットにデータが残る、永続的な接続に関して競合状態がありました。その後のリクエストでは、このデータを読み取り、それ以前の応答のコンテンツを返します。競合状態ウィンドウは短いように見え、これを意図的に悪用することは困難です。CVE-2019-16779

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In RubyGem excon before 0.71.0, there was a race condition around persistent connections, where a     connection which is interrupted (such as by a timeout) would leave data on the socket. Subsequent requests     would then read this data, returning content from the previous response. The race condition window appears     to be short, and it would be difficult to purposefully exploit this. (CVE-2019-16779)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 0.71.0之前的 RubyGem excon 中存在围绕持续连接的争用条件其中中断的连接例如通过超时会在套接字上留下数据。后续请求随后会读取此数据，返回之前响应中的内容。争用条件窗口似乎很短很难有意利用此缺陷。 (CVE-2019-16779)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Gitlab reports :

Path Traversal to Arbitrary File Read

User Permissions Not Validated in ProjectExportWorker

XSS Vulnerability in File API

Package and File Disclosure through GitLab Workhorse

XSS Vulnerability in Create Groups

Issue and Merge Request Activity Counts Exposed

Email Confirmation Bypass Using AP

Disclosure of Forked Private Project Source Code

Private Project Names Exposed in GraphQL queries

Disclosure of Issues and Merge Requests via Todos

Denial of Service via AsciiDoc

Last Pipeline Status Exposed

Arbitrary Change of Pipeline Status

Grafana Token Displayed in Plaintext

Update excon gem

Update rdoc gem

Update rack-cors gem

Update rubyzip gem

This update for rubygem-excon fixes the following issues :

CVE-2019-16779 (boo#1159342): Fix a race condition around persistent connections, where a connection, which was interrupted, would leave data on the socket. Subsequent requests would then read this data, returning content from the previous response.

Gitlab による報告：

任意のファイル読み取りに対するパストラバーサル

ProjectExportWorkerでユーザー権限が検証されない

ファイルAPIのXSS脆弱性

GitLab Workhorseによるパッケージおよびファイルの漏洩

グループ作成におけるXSSの脆弱性

漏洩された問題およびマージリクエストアクティビティのカウント

APを使用したメール確認バイパス

分岐プライベートプロジェクトのソースコードの漏洩

GraphQLクエリで漏洩されたプライベートプロジェクト名

Todosによる問題およびマージリクエストの漏洩

AsciiDocによるサービス拒否

漏洩された最後のパイプラインステータス

パイプラインステータスの任意の変更

平文で表示されるGrafanaトークン

excon gemを更新

rdoc gemを更新

rack-cors gemを更新

rubyzip gemを更新

このrubygem-exconの更新では、次の問題を修正します：

CVE-2019-16779 （boo#1159342）：接続の中断時にソケット上にデータが残る、永続的接続に関する競合状態を修正します。その後のリクエストでは、このデータを読み取り、それ以前の応答のコンテンツを返します。

ID	名稱	產品	系列	已發布	已更新	嚴重性
133103	Debian DLA-2070-1 : ruby-exconセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/1/21	2024/3/29	medium
133103	Debian DLA-2070-1 : ruby-excon security update	Nessus	Debian Local Security Checks	2020/1/21	2024/3/29	medium
259845	Linux Distros 未修補的弱點：CVE-2019-16779	Nessus	Misc.	2025/8/30	2025/8/30	medium
133103	Debian DLA-2070-1：ruby-excon 安全性更新	Nessus	Debian Local Security Checks	2020/1/21	2024/3/29	medium
133103	Debian DLA-2070-1：ruby-excon 安全更新	Nessus	Debian Local Security Checks	2020/1/21	2024/3/29	medium
259845	Linux Distros のパッチ未適用の脆弱性: CVE-2019-16779	Nessus	Misc.	2025/8/30	2025/8/30	medium
259845	Linux Distros Unpatched Vulnerability : CVE-2019-16779	Nessus	Misc.	2025/8/30	2025/8/30	medium
259845	Linux Distros 未修补的漏洞：CVE-2019-16779	Nessus	Misc.	2025/8/30	2025/8/30	medium
133434	FreeBSD : Gitlab -- Multiple Vulnerabilities (c5bd9068-440f-11ea-9cdb-001b217b3468)	Nessus	FreeBSD Local Security Checks	2020/2/3	2024/3/28	critical
132912	openSUSE Security Update : rubygem-excon (openSUSE-2020-36)	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	medium
133434	FreeBSD：Gitlab -- 複数の脆弱性（c5bd9068-440f-11ea-9cdb-001b217b3468）	Nessus	FreeBSD Local Security Checks	2020/2/3	2024/3/28	critical
132912	openSUSEセキュリティ更新プログラム：rubygem-excon（openSUSE-2020-36）	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

critical

medium

critical

medium