來自 Red Hat 安全性公告 2008:0896：

現已提供適用於 Red Hat Enterprise Linux 3 的更新版 ruby 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Ruby 是一套解譯式指令碼語言，可輕鬆快速編寫物件導向程式。

Ruby DNS 解析器程式庫 resolv.rb 在傳送 DNS 要求時使用可預測交易 ID 與固定來源連接埠。遠端攻擊者可利用此瑕疵偽造對於 DNS 查詢的惡意回覆。(CVE-2008-3905)

在 Ruby 的安全等級限制中發現一些瑕疵。
攻擊者可能會建立特製的惡意指令碼，這可能會允許繞過某些安全等級限制。(CVE-2008-3655)

在 Ruby 的規則運算式引擎中發現一個拒絕服務瑕疵。如果 Ruby 指令碼嘗試透過規則運算式處理大量資料，則可導致 Ruby 進入無限迴圈並發生損毀。(CVE-2008-3443)

Ruby 的使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。

來自 Red Hat 安全性公告 2008:0897：

現已提供適用於 Red Hat Enterprise Linux 4 與 5 的更新版 ruby 套件，可修正一些安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Ruby 是一套解譯式指令碼語言，可輕鬆快速編寫物件導向程式。

Ruby DNS 解析器程式庫 resolv.rb 在傳送 DNS 要求時使用可預測交易 ID 與固定來源連接埠。遠端攻擊者可利用此瑕疵偽造對於 DNS 查詢的惡意回覆。(CVE-2008-3905)

Ruby 的 XML 文件剖析模組 (REXML) 容易透過含有大型 XML 實體定義遞迴的 XML 文件遭受拒絕服務攻擊。特製的 XML 檔案可導致使用 REXML 模組的 Ruby 應用程式使用過量的 CPU 與記憶體。
(CVE-2008-3790)

在 Ruby 的 DL 模組中發現一個不充分「污染」檢查瑕疵，可提供對於 C 語言函式的直接存取權。攻擊者可利用此瑕疵，透過從不受信任的受污染輸入中以引數呼叫外部 C 函式，來繞過預定的安全等級限制。(CVE-2008-3657)

在 Ruby 的 HTTP 伺服器工具組 WEBrick 中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製的 HTTP 要求至 WEBrick 伺服器，可導致伺服器使用過量的 CPU 時間。(CVE-2008-3656)

在 Ruby 的安全等級限制中發現一些瑕疵。
攻擊者可能會建立特製的惡意指令碼，這可能會允許繞過某些安全等級限制。(CVE-2008-3655)

在 Ruby 的規則運算式引擎中發現一個拒絕服務瑕疵。如果 Ruby 指令碼嘗試透過規則運算式處理大量資料，則可導致 Ruby 進入無限迴圈並發生損毀。(CVE-2008-3443)

Ruby 的使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。

此 ruby 更新可改善允許攻擊者使用已撤銷憑證的 openssl 函式 OCSP_basic_verify() 傳回值 (CVE-2009-0642)。增加 DNS 識別碼的熵 (CVE-2008-3905) 以防止偽造攻擊。剖析 XML 資料的程式碼容易受到拒絕服務錯誤影響 (CVE-2008-3790)。剖析 HTTP 要求時 (CVE-2008-3656) 以及藉由使用造成高 CPU 負載的 regex 引擎 (CVE-2008-3443)，可能針對函式 WEBrick::HTTP::DefaultFileHandler() 中的演算法複雜度發動攻擊。已改善 Ruby 的存取限制程式碼 (CVE-2008-3655) 及使用 DL.dlopen() 函式的安全層級處理 (CVE-2008-3657)，還有大十進位處理 (CVE-2009-1904) 問題。
不可能再發生繞過 HTTP 基本驗證 (authenticate_with_http_digest) 情形。

Ruby DNS 解析器程式庫 resolv.rb 在傳送 DNS 要求時使用可預測交易 ID 與固定來源連接埠。遠端攻擊者可利用此瑕疵偽造對於 DNS 查詢的惡意回覆。(CVE-2008-3905)

Ruby 的 XML 文件剖析模組 (REXML) 容易透過含有大型 XML 實體定義遞迴的 XML 文件遭受拒絕服務攻擊。特製的 XML 檔案可導致使用 REXML 模組的 Ruby 應用程式使用過量的 CPU 與記憶體。
(CVE-2008-3790)

在 Ruby 的 DL 模組中發現一個不充分「污染」檢查瑕疵，可提供對於 C 語言函式的直接存取權。攻擊者可利用此瑕疵，透過從不受信任的受污染輸入中以引數呼叫外部 C 函式，來繞過預定的安全等級限制。(CVE-2008-3657)

在 Ruby 的 HTTP 伺服器工具組 WEBrick 中發現一個拒絕服務瑕疵。遠端攻擊者可傳送特製的 HTTP 要求至 WEBrick 伺服器，可導致伺服器使用過量的 CPU 時間。(CVE-2008-3656)

在 Ruby 的安全等級限制中發現一些瑕疵。
攻擊者可能會建立特製的惡意指令碼，這可能會允許繞過某些安全等級限制。(CVE-2008-3655)

在 Ruby 的規則運算式引擎中發現一個拒絕服務瑕疵。如果 Ruby 指令碼嘗試透過規則運算式處理大量資料，則可導致 Ruby 進入無限迴圈並發生損毀。(CVE-2008-3443)

ID	名稱	產品	系列	已發布	已更新	嚴重性
67751	Oracle Linux 3 : ruby (ELSA-2008-0896)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
67752	Oracle Linux 4 / 5 : ruby (ELSA-2008-0897)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
51760	SuSE 10 安全性更新：ruby (ZYPP 修補程式編號 6338)	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/14	high
60485	Scientific Linux 安全性更新：SL3.x、SL4.x、SL5.x i386/x86_64 上的 ruby	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high

偵測

搜尋 Plugin

high

high

high

high