Ruby 2.2.4 的更新包含 CVE-2009-5147 和 CVE-2015-7551 的安全性修正。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Ruby 開發人員報告：

在 Fiddle 和 DL 中有一個不安全的受污染字串弱點。此問題最初是在 DL 中的 CVE-2009-5147 報告及修正，但在使用 Fiddle 和 libffi 重新實作 DL 之後又再度出現。

此外，關於 DL，CVE-2009-5147 已在 Ruby 1.9.1 修正，但其他分支並未修正，因此，隨附 Ruby 1.9.1 以外的 DL 的 ruby 仍會受影響。

據發現，Ruby DL: : dlopen 未正確處理開啟的程式庫。攻擊者可能會利用此問題開啟具污染名稱的程式庫。此問題僅適用 Ubuntu 14.04 LTS。
(CVE-2009-5147)

Tony Arcieri、Jeffrey Walton 和 Steffan Ullrich 發現 Ruby OpenSSL 延伸模組未正確處理主機名稱萬用字元相符。
此問題僅適用於 Ubuntu 14.04 LTS。(CVE-2015-1855)

Christian Hofstaedtler 發現 Ruby Fiddle: : Handle 未正確處理某些特製字串。攻擊者可利用此問題，造成拒絕服務或可能執行任意程式碼。此問題僅適用於 Ubuntu 14.04 LTS。(CVE-2015-7551)

據發現，Ruby Net: : SMTP 未正確處理 CRLF 序列。遠端攻擊者可能會利用此問題插入 SMTP 命令。(CVE-2015-9096)

Marcin Noga 發現 Ruby 未正確處理某些 TclTkIp 類別方法中的引數。攻擊者可能利用此問題執行任意程式碼。這個問題只會影響 Ubuntu 14.04 LTS。
(CVE-2016-2337)

據發現，Ruby Fiddle: : Function.new 未正確處理某些引數。攻擊者可能利用此問題執行任意程式碼。這個問題只會影響 Ubuntu 14.04 LTS。
(CVE-2016-2339)

據發現，Ruby 未正確處理 GCM 模式中的初始化向量 (IV)。攻擊者可能會利用此問題繞過加密。(CVE-2016-7798)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機執行的 Mac OS X 10.11.x 版比 10.11.4 版舊。因此受到下列元件中的多個弱點影響：

- apache_mod_php
 - AppleRAID
 - AppleUSBNetworking
 - Bluetooth
 - Carbon
 - dyld
 - FontParser
 - HTTPProtocol
 - Intel Graphics Driver
 - IOFireWireFamily
 - IOGraphics
 - IOHIDFamily
 - IOUSBFamily
 - Kernel
 - libxml2
 - Messages
 - NVIDIA Graphics Drivers
 - OpenSSH
 - OpenSSL
 - Python
 - QuickTime
 - Reminders
 - Ruby
 - Security
 - Tcl
 - TrueTypeScaler
 - Wi-Fi

請注意，如果成功惡意利用多數嚴重問題，將會導致任意程式碼執行。

DL::dlopen 可使用受污染的程式庫名稱開啟程式庫，即使 $SAFE > 0 也一樣。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2018:0583 公告中提及的多個弱點影響。

  - ruby：DL::dlopen 可使用受污染的程式庫名稱開啟程式庫 (CVE-2009-5147、CVE-2015-7551)

  - ruby：Kernel.sprintf 中的緩衝區不足弱點 (CVE-2017-0898)

  - rubygems：在 gemspec 的摘要欄位中逸出序列 (CVE-2017-0899)

  - rubygems：gem 規格的摘要長度中沒有大小限制 (CVE-2017-0900)

  - rubygems：因不正確驗證規格名稱而導致任意檔案覆寫 (CVE-2017-0901)

  - rubygems：DNS 劫持弱點 (CVE-2017-0902)

  - rubygems：透過 YAML 格式化的 gem 規格造成不安全的物件還原序列化 (CVE-2017-0903)

  - ruby：在 WEBrick 的基本驗證中出現逸出序列插入弱點 (CVE-2017-10784)

  - ruby：OpenSSL ASN1 解碼中的緩衝區不足 (CVE-2017-14033)

  - ruby：JSON.generate 呼叫期間的任意堆積暴露 (CVE-2017-14064)

  - ruby：Net::FTP 中的命令插入弱點 (CVE-2017-17405)

  - ruby：lib/resolv.rb:lazy_initialize() 中的命令插入允許任意程式碼執行 (CVE-2017-17790)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
89454	Fedora 23︰ruby-2.2.4-47.fc23 (2015-eef21b972e)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
87610	FreeBSD：Ruby -- 不安全的受污染字串弱點 (3b50881d-1860-4721-aab1-503290e23f6c)	Nessus	FreeBSD Local Security Checks	2015/12/29	2021/1/6	high
101974	Ubuntu 14.04 LTS / 16.04 LTS：Ruby 弱點 (USN-3365-1)	Nessus	Ubuntu Local Security Checks	2017/7/26	2023/10/20	critical
90096	Mac OS X 10.11.x < 10.11.4 多個弱點	Nessus	MacOS X Local Security Checks	2016/3/22	2019/11/20	critical
87966	Amazon Linux AMI：ruby19 / ruby20、ruby21、ruby22 (ALAS-2016-632)	Nessus	Amazon Linux Local Security Checks	2016/1/19	2018/4/18	high
89397	Fedora 22︰ruby-2.2.4-47.fc22 (2015-c4409eb73a)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
194057	RHEL 6 / 7：rh-ruby22-ruby (RHSA-2018:0583)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/4/27	critical

偵測

搜尋 Plugin

high

high

critical

critical

high

high

critical