リモートホストにインストールされているrubyのバージョンは、2.6.9-129より前のバージョンです。したがって、ALAS2RUBY2.6-2023-002 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Ruby の 3.2.0までの日付 gem の Date.parse により、長い文字列を介して ReDoS (正規表現のサービス拒否) が可能です。修正されたバージョンは、3.2.1、3.1.2、3.0.2、および 2.0.1 です。(CVE-2021-41817)

  - CGI : : Cookie.parse (Ruby 2.6.8 まで) が、Cookie 名のセキュリティプレフィックスを不適切に処理します。これは、Ruby に対する 0.3.0 までの CGI gem にも影響を与えます。(CVE-2021-41819)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2: ruby (ALASRUBY2.6-2023-002)

high Nessus プラグイン ID 181951

バージョン 1.1

バージョン 1.0

バージョン 1.1 Sep 28, 2023, 4:12 PM Exploit attributes ("Exploitability ease" changed from "No known exploits are available" to "Exploits are available") Plugin Feed: 202309281612
バージョン 1.0 Sep 27, 2023, 10:33 PM New Plugin Feed: 202309272233