Ruby言語のインタープリターに、複数の脆弱性が発見されました。Common Vulnerabilities and Exposuresプロジェクトは次の問題を特定しています：

  - CVE-2017-0898aerodudrizzt氏は、ヒープメモリの破損またはヒープからの情報漏洩に至るカーネルモジュールのsprintfメソッドにバッファアンダーランの脆弱性があることを報告しました。

  - CVE-2017-0903Max Justicz氏は、RubyGemsに安全でないオブジェクトの逆シリアル化の脆弱性があることを報告しました。gemを処理するアプリケーションによって解析されるときに、特別に細工されたYAML形式のgem仕様によってリモートでコードが実行される可能性があります。

  - CVE-2017-10784Yusuke Endoh氏は、WEBrickの基本認証にエスケープシーケンスインジェクションの脆弱性があることを発見しました。攻撃者がこの欠陥を利用して、悪意のあるエスケープシーケンスをWEBrickログに挿入し、ログを読み取るときに被害者のターミナルエミュレーターで制御文字を実行する可能性があります。

  - CVE-2017-14033asacは、OpenSSL拡張におけるバッファアンダーランの脆弱性を報告しました。リモート攻撃者がこの欠陥を利用して、rubyインタープリターをクラッシュさせ、サービス拒否を引き起こす可能性があります。

検出

DebianDSA-4031-1：ruby2.3 - セキュリティ更新

critical Nessus プラグイン ID 104503

変更ログが見つかりません