DebianDLA-1796-1: jrubyのセキュリティ更新プログラム

critical Nessus プラグイン ID 125297

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

Rubyプログラミング言語のJava実装であるjrubyに、複数の脆弱性が見つかりました。

CVE-2018-1000074

ownerコマンドの信頼できないデータの逆シリアル化の脆弱性により、コードの実行が発生する可能性があります。特別に細工されたYAMLファイルで、gemに「gem owner」コマンドを実行したと思われる被害者を介して、この攻撃が悪用される可能性があります。

CVE-2018-1000075

ruby gemパッケージのtarヘッダーでの負のサイズの脆弱性により、負のサイズが無限ループを引き起こす可能性があります。

CVE-2018-1000076

tarballに複数のgem署名が含まれているため、不適切なgem署名が発生する可能性のある、package.rbの暗号署名の脆弱性の不適切な検証がインストールされる可能性があります。

CVE-2018-1000077

ruby gems仕様ホームページ属性の不適切な入力検証の脆弱性により、悪意のあるgemが無効なホームページURLを設定する可能性があります。

CVE-2018-1000078

ホームページ属性のgemサーバー表示のクロスサイトスクリプティング（XSS）の脆弱性により、XSSが発生する可能性があります。脆弱なgemサーバーで悪意のあるgemを閲覧したと思われる被害者を介して、この攻撃が悪用される可能性があります。

CVE-2019-8321

Gem::UserInteraction#verboseは回避せずにsayを呼び出すため、回避シーケンスインジェクションが可能です

CVE-2019-8322

gem ownerコマンドはAPIレスポンスのコンテンツを直接stdoutに出力します。したがって、応答が細工されている場合は、回避シーケンスインジェクションが発生する可能性があります。

CVE-2019-8323

Gem::GemcutterUtilities#with_response は、APIレスポンスをそのままstdoutに出力する可能性があります。したがって、API側が応答を変更する場合は、回避シーケンスインジェクションが発生する可能性があります。

CVE-2019-8324

複数行の名前を持つ細工されたgemは正しく処理されません。
そのため、攻撃者がgemspecのstub行に任意コードを注入する可能性があります

CVE-2019-8325

Gem::CommandManager#run は回避せずにalert_errorを呼び出すため、回避シーケンスインジェクションが可能です。（エラーはさまざまな形で引き起こされます。）

Debian 8「Jessie」では、これらの問題はバージョン1.5.6-9+deb8u1で修正されました。

お使いのjrubyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。