Debian DLA-1337-1: jruby のセキュリティ更新

critical Nessus プラグイン ID 108788

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

Rubyプログラミング言語のpure-Java実装であるJRubyに埋め込まれているrubygemsパッケージ管理フレームワークに、複数の脆弱性が見つかりました。

CVE-2018-1000075

ruby gemパッケージのtarヘッダーでの負のサイズの脆弱性により、無限ループが発生する可能性があります。

CVE-2018-1000076

Ruby gemパッケージが、暗号署名を不適切に検証します。tarballに複数のgem署名がある場合、署名が間違っているgemがインストールされる可能性があります。

CVE-2018-1000077

ruby gems仕様ホームページ属性の不適切な入力検証の脆弱性により、悪意のあるgemが無効なホームページURLを設定する可能性があります。

CVE-2018-1000078

ホームページ属性のgemサーバー表示のクロスサイトスクリプティング（XSS）の脆弱性

Debian 7「Wheezy」では、これらの問題はバージョン1.5.6-5+deb7u1で修正されました。

お使いのjrubyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。