Amazon Linux AMI:ruby20(ALAS-2020-1416)

high Nessus プラグイン ID 139550

概要

リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。

説明

Rubyの2.3.8より前、2.4.5より前の2.4.x、2.5.2より前の2.5.x、および2.6.0-preview3より前の2.6.xで問題が発見されました。いくつかのフォーマットでは、汚染された文字列をアンパックした結果生じる文字列が汚染されることはありません。
(CVE-2018-16396)

Rubyの2.4~2.4.9、2.5~2.5.7、および2.6~2.6.5で使用されているように、Ruby用の2.2.0以前のJSON gemには、安全ではないオブジェクト作成の脆弱性があります。これは、CVE-2013-0269と非常によく似ていますが、Ruby内の貧弱なガベージコレクション動作に依存しません。
特に、JSON解析メソッドを使用すると、インタープリター内に悪意のあるオブジェクトが作成され、アプリケーションによって異なる悪影響が及ぶ可能性があります。(CVE-2020-10663)

ソリューション

「yum update ruby20」を実行してシステムを更新してください。

参考資料

https://alas.aws.amazon.com/ALAS-2020-1416.html

プラグインの詳細

深刻度: High

ID: 139550

ファイル名: ala_ALAS-2020-1416.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

公開日: 2020/8/13

更新日: 2022/1/26

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 6.8

Temporal Score: 5

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2018-16396

CVSS v3

リスクファクター: High

Base Score: 8.1

Temporal Score: 7.1

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:amazon:linux:ruby20, p-cpe:/a:amazon:linux:ruby20-debuginfo, p-cpe:/a:amazon:linux:ruby20-devel, p-cpe:/a:amazon:linux:ruby20-doc, p-cpe:/a:amazon:linux:ruby20-irb, p-cpe:/a:amazon:linux:ruby20-libs, p-cpe:/a:amazon:linux:rubygem20-bigdecimal, p-cpe:/a:amazon:linux:rubygem20-io-console, p-cpe:/a:amazon:linux:rubygem20-psych, p-cpe:/a:amazon:linux:rubygems20, p-cpe:/a:amazon:linux:rubygems20-devel, cpe:/o:amazon:linux

必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2020/8/12

脆弱性公開日: 2018/11/16

参照情報

CVE: CVE-2018-16396, CVE-2020-10663

ALAS: 2020-1416