リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:1431 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Ruby の 0.1.0.2 より前の cgi gem、0.2.2より前の、0.2.x0.3.5より前の 0.3.x は、HTTP 応答分割を許可します。これは、信頼できないユーザー入力を HTTP 応答の生成や CGI::Cookie オブジェクトの作成のために使用するアプリケーションに関連します。(CVE-2021-33621)

  - rubygem-uri: ReDoS の脆弱性 - (CVE-2023-28755) に対する upstream の不完全な修正

  - 3.2.1 までの Ruby における 0.2.1 までの Time コンポーネントで ReDoS の問題が発見されました。Time パーサーが、特定の文字を含む無効な URL を不適切に処理します。これにより、Time オブジェクトに対する文字列を解析するための実行時間が増加します。修正されたバージョンは、0.1.1および 0.2.2 です。(CVE-2023-28756)

  - Ruby の 0.12.2 以前の URI コンポーネントに ReDoS の問題が発見されました。URI パーサーが、特定の文字を含む無効な URL を不適切に処理します。rfc2396_parser.rb および rfc3986_parser.rb で文字列を URI オブジェクトへ解析するための実行時間が増加します。注: この問題は、CVE-2023-28755 に対する修正が不完全なために存在します。バージョン 0.10.3 も修正済みのバージョンです。(CVE-2023-36617)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8 : ruby:3.1 (RHSA-2024:1431)

high Nessus プラグイン ID 192287

バージョン 1.1