リモートホストにインストールされている ruby のバージョンは、2.0.0.648-36 より前のバージョンです。したがって、ALAS2-2021-1641 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Ruby 2.5.8 以前、2.6.x から 2.6.6、および 2.7.x から 2.7.1 で問題が見つかりました。Ruby にバンドルされている簡易 HTTP サーバーである WEBrick は、転送エンコーディングヘッダーの値を厳密にチェックしていませんでした。攻撃者はこの問題を悪用して、リバースプロキシ (ヘッダーチェックが不適切) をバイパスし、HTTP リクエストスマグリング攻撃を引き起こす可能性があります。(CVE-2020-25613)

  - Ruby の 2.4 ～ 2.4.9、2.5 ～ 2.5.7、および 2.6 ～ 2.6.5 で使用されているように、Ruby 用の 2.2.0 以前の JSON gem には、安全ではないオブジェクト作成の脆弱性があります。これは、CVE-2013-0269 と非常によく似ていますが、Ruby 内の貧弱なガベージコレクション動作に依存しません。特に、JSON 解析メソッドを使用すると、インタープリター内に悪意のあるオブジェクトが作成され、アプリケーションによって異なる悪影響が及ぶ可能性があります。(CVE-2020-10663)

  - RDoc 3.11 ～ 6.3.1 より前の 6.x では、3.0.1 までの Ruby で配布されるように、| を介した任意のコードやファイル名のタグを実行することが可能です。(CVE-2021-31799)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2：ruby(ALAS-2021-1641)

high Nessus プラグイン ID 149871

バージョン 1.5

バージョン 1.4

バージョン 1.5 Mar 21, 2023, 7:30 PM Plugin metadata Plugin Feed: 202303211930
バージョン 1.4 Feb 21, 2023, 4:03 AM Regenerated based on advisory update Plugin Feed: 202302210403