リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:2592-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - TZInfoは、タイムゾーンデータへのアクセスを提供し、タイムゾーンルールを使用して時刻を変換できる Ruby ライブラリです。0.36.1 より前のバージョンと 1.2.10 より前のバージョンを Ruby データソース tzinfo-data で使用した場合、相対パストラバーサルに脆弱です。Ruby データソースでは、タイムゾーンは Ruby ファイルで定義されます。タイムゾーンごとに 1 つのファイルがあります。タイムゾーンファイルは、オンデマンドで「require」でロードされます。影響を受けるバージョンでは、「TZInfo: : Timezone.get」がタイムゾーン識別子を正しく検証できないため、識別子内に改行文字が含まれる可能性があります。Ruby バージョン 1.9.3 以降では、「TZInfo: : Timezone.get」に「require」で意図しないファイルをロードさせ、Ruby プロセス内で実行させることができます。バージョン 0.3.61 および 1.2.10 には、タイムゾーン識別子を正しく検証するための修正が含まれています。バージョン 2.0.0 以降は脆弱ではありません。バージョン 0.3.61 は、名前が有効なタイムゾーン識別子のルールに従い、ファイルのロードパスのディレクトリ内に「tzinfo/definition」のプレフィックスがある場合、Ruby ロードパスから任意のファイルをロードできます。アプリケーションは、信頼できないファイルがロードパスのディレクトリに配置されないようにする必要があります。回避策として、タイムゾーン識別子を「TZInfo: : Timezone.get」に渡す前に、正規表現「\A[A-Za-z0-9+\-_]+(?: \/[A-Za-z0-9+\-_]+)*\z」と一致するようにすることで、それを検証することができます。(CVE-2022-31163)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES15 / openSUSE 15 セキュリティ更新: rubygem-tzinfo (SUSE-SU-2022:2592-1)

high Nessus プラグイン ID 163644

バージョン 1.4