Debian dla-3858 : libruby2.7 - セキュリティ更新
high Nessus プラグイン ID 206420
Language:
概要
リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 11 ホストには、dla-3858 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3858-1 [email protected] https://www.debian.org/lts/security/Sylvain Beucler 2024 年 9 月 2 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
パッケージ : ruby2.7 バージョン : 2.7.4-1+deb11u2 CVE ID : CVE-2021-33621 CVE-2022-28739 CVE-2023-28755 CVE-2023-28756 CVE-2023-36617 CVE-2024-27280 CVE-2024-27281 CVE-2024-27282 Debian バグ : 1009957 1024799 1038408 1067802 1069966 1069968
Ruby 言語のインタープリターに複数の脆弱性が検出されました。これにより、サービス拒否 (DoS)、情報漏洩、リモートコード実行につながる可能性があります。
CVE-2021-33621
cgi gem により、HTTP 応答分割が可能です。これは、信頼できないユーザー入力を HTTP 応答の生成や CGI::Cookie オブジェクトの作成のために使用するアプリケーションに関連します。
CVE-2022-28739
Kernel#Float や String#to_f などの String-to-Float 変換では、バッファオーバーリードが発生します。
CVE-2023-28755
URI コンポーネントに ReDoS の問題が発見されました。URI パーサーが、特定の文字を含む無効な URL を不適切に処理します。これにより、URI オブジェクトに対する文字列を解析するための実行時間が増加します。
CVE-2023-28756
Time コンポーネントに ReDoS の問題が検出されました。Time パーサーが、特定の文字を含む無効な URL を不適切に処理します。これにより、Time オブジェクトに対する文字列を解析するための実行時間が増加します。
CVE-2023-36617
CVE-2023-28755 のフォローアップ修正。
CVE-2024-27280
StringIO でバッファオーバーリードの問題が検出されました。StringIO の ungetbyte メソッドと ungetc メソッドは文字列の終端を超えて読み取りができることにより、その後の StringIO.gets への呼び出しでメモリ値が返される可能性があります。
CVE-2024-27281
.rdoc_options (RDoc での設定に使用) を YAML ファイルとして解析する場合、復元できるクラスに制限がないため、オブジェクトインジェクションとそれに伴うリモートコード実行が可能です。(ドキュメンテーションキャッシュをロードするとき、細工されたキャッシュがあった場合、オブジェクトインジェクションとその結果生じるリモートコードの実行が可能です。)
CVE-2024-27282
攻撃者が指定したデータが Ruby の正規表現コンパイラに提供されると、ポインターや機密文字列など、テキストの開始に関連する任意のヒープデータが抽出される可能性があります。
Debian 11 bullseye においては、これらの問題はバージョン 2.7.4-1+deb11u2 で修正されました。
お使いの ruby2.7 パッケージをアップグレードすることを推奨します。
ruby2.7 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/ruby2.7
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS
Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
libruby2.7 パッケージをアップグレードしてください。参考資料
https://security-tracker.debian.org/tracker/source-package/ruby2.7
https://security-tracker.debian.org/tracker/CVE-2021-33621
https://security-tracker.debian.org/tracker/CVE-2022-28739
https://security-tracker.debian.org/tracker/CVE-2023-28755
https://security-tracker.debian.org/tracker/CVE-2023-28756
https://security-tracker.debian.org/tracker/CVE-2023-36617
https://security-tracker.debian.org/tracker/CVE-2024-27280
https://security-tracker.debian.org/tracker/CVE-2024-27281
プラグインの詳細
深刻度: High
ID: 206420
ファイル名: debian_DLA-3858.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2024/9/2
更新日: 2024/9/2
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 4.3
現状値: 3.4
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N
CVSS スコアのソース: CVE-2022-28739
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2021-33621
脆弱性情報
CPE: p-cpe:/a:debian:debian_linux:ruby2.7, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:ruby2.7-doc, p-cpe:/a:debian:debian_linux:ruby2.7-dev, p-cpe:/a:debian:debian_linux:libruby2.7
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2024/9/2
脆弱性公開日: 2022/4/13
参照情報
CVE: CVE-2021-33621, CVE-2022-28739, CVE-2023-28755, CVE-2023-28756, CVE-2023-36617, CVE-2024-27280, CVE-2024-27281, CVE-2024-27282