リモートの Debian 10 ホストには、dla-3077 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - TZInfo は、タイムゾーンデータへのアクセスを提供し、タイムゾーンルールを使用して時刻を変換できる Ruby ライブラリです。0.36.1 より前のバージョンと 1.2.10 より前のバージョンを Ruby データソース tzinfo-data で使用した場合、相対パストラバーサルに脆弱です。Ruby データソースでは、タイムゾーンは Ruby ファイルで定義されます。タイムゾーンごとに 1 つのファイルがあります。タイムゾーンファイルは、オンデマンドで「require」でロードされます。影響を受けるバージョンでは、「TZInfo: : Timezone.get」がタイムゾーン識別子を正しく検証できないため、識別子内に改行文字が含まれる可能性があります。Ruby バージョン 1.9.3 以降では、「TZInfo: : Timezone.get」に「require」で意図しないファイルをロードさせ、Ruby プロセス内で実行させることができます。バージョン 0.3.61 および 1.2.10 には、タイムゾーン識別子を正しく検証するための修正が含まれています。バージョン 2.0.0 以降は脆弱ではありません。バージョン 0.3.61 は、名前が有効なタイムゾーン識別子のルールに従い、ファイルのロードパスのディレクトリ内に「tzinfo/definition」のプレフィックスがある場合、Ruby ロードパスから任意のファイルをロードできます。アプリケーションは、信頼できないファイルがロードパスのディレクトリに配置されないようにする必要があります。回避策として、タイムゾーン識別子を「TZInfo: : Timezone.get」に渡す前に、正規表現「\A[A-Za-z0-9+\-_]+(?: \/[A-Za-z0-9+\-_]+)*\z」と一致するようにすることで、それを検証することができます。 (CVE-2022-31163)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Debian DLA-3077-1 : ruby-tzinfo - LTS セキュリティ更新

high Nessus プラグイン ID 164282

バージョン 1.3