Debian DLA-2330-1: jruby のセキュリティ更新

high Nessus プラグイン ID 139628

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

Rubyの100％pure-Java実装であるJRubyで、いくつかの脆弱性が修正されました。

CVE-2017-17742 CVE-2019-16254

WEBrickのHTTPサーバーにおけるHTTP応答分割攻撃。

CVE-2019-16201

WEBrickのDigestアクセス認証の正規表現のサービス拒否の脆弱性。

CVE-2019-8320

tarの展開時にシンボリックリンクを使用して、ディレクトリを削除します。

CVE-2019-8321

詳細におけるエスケープシーケンスインジェクションの脆弱性。

CVE-2019-8322

gem所有者におけるエスケープシーケンスインジェクションの脆弱性。

CVE-2019-8323

APIレスポンス処理におけるエスケープシーケンスインジェクションの脆弱性。

CVE-2019-8324

悪意のあるgemをインストールすると、任意のコードが実行される可能性があります。

CVE-2019-8325

エラーにおけるエスケープシーケンスインジェクションの脆弱性。

CVE-2019-16255

Shell＃[]およびShell＃testのコードインジェクションの脆弱性。

Debian 9「Stretch」では、これらの問題はバージョン1.7.26-1+deb9u2で修正されています。

お使いのjrubyパッケージをアップグレードすることを推奨します。

jrubyの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください: https://security-tracker.debian.org/tracker/jruby

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。