Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 「Bundler」は、Ruby でアプリケーションの依存関係を管理するためのパッケージです。 2.2.33より前のバージョンの「bundler」では、信頼できない明らかに無害な「Gemfile」を操作する場合、「Gemfile」自体の中の ruby コードで明示的に指定されていない限り、外部コードが実行されることは想定されていません。ただし、「Gemfile」に、「git」オプションを使用する「gem」エントリが含まれ、無効だが一見無害に見える、先頭にダッシュが付いた値がある場合、これはfalseになる可能性があります。レジストリではなく Git リポジトリからの依存関係を処理するために、Bundler は「git clone」などのさまざまなコマンドを使用します。これらのコマンドは、ユーザー入力 (リポジトリ URL など) を使用して構築されています。コマンドを構築する際、 2.2.33 より前のバージョンの Bundler は、コマンド文字列の代わりに引数の配列を渡すことで、コマンドインジェクションの脆弱性を適切に回避します。ただし、ユーザー入力がダッシュ (「-」) で始まる可能性があるため、定位置引数ではなくオプション引数として扱われます。一部のコマンドには任意の実行可能ファイルを実行するために利用できるオプションがあるため、これはコード実行につながる可能性があります。この値は「Gemfile」ファイルから取得されるため、先頭にダッシュを含む任意の文字を含めることができます。この脆弱性を悪用するには、攻撃者はGitリポジトリにある依存関係を宣言する「Gemfile」ファイルを含むディレクトリを作成する必要があります。この依存関係には、「-u./payload」の形式の Git URL が必要です。この URL は Git クローンコマンドの構築に使用されますが、upload-pack 引数として解釈されます。次に、このディレクトリを被害者と共有する必要があります。被害者は、内部の「bundle lock」などの Gemfile を評価するコマンドを実行する必要があります。この脆弱性により、任意のコードが実行され、システムの乗っ取りが発生する可能性があります。ただし、ユーザーの操作を大量に必要とするため、悪用される可能性は非常に低くなります。Bundler 2.2.33 は、この問題の影響を受ける Git コマンドに対する位置引数の前に引数として「--」を挿入することにより、この問題にパッチを適用しました。ユーザーがアップグレードできるかどうかにかかわらず、ユーザーは信頼できない「Gemfile」を読み取る可能性のある「bundler」コマンドを実行する前にそれらを確認する必要があります。これは、任意の ruby コードが含まれている可能性があるためです。 （CVE-2021-43809）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2021-43809

high Nessus プラグイン ID 224238

バージョン 1.4