Debian dla-4163 : Bundler - セキュリティ更新
low Nessus プラグイン ID 236773
Language:
概要
リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。説明
リモートのDebian 11ホストには、dla-4163アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- -------------------------------------------------- -------------------------- Debian LTS アドバイザリ DLA-4163-1 [email protected] https://www.debian.org/lts/security/Lucas 2025 年 5 月 12 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
パッケージ rubygems バージョン 3.2.5-2+deb11u1 CVE ID CVE-2021-43809 CVE-2023-28755 CVE-2025-27221
Ruby 用のパッケージ管理フレームワークと Ruby アプリケーション用の依存関係マネージャーを含む rubygems に複数の脆弱性が見つかりました。
CVE-2021-43809
2.2.33より前のバンドルバージョンでは、信頼できず明らかに無害な「Gemfile」の で動作するとき、「Gemfile」自身の内部の ruby コードで明示されていない限り、外部コードの実行につながることは期待されません。ただし、「Gemfile」に、「git」オプションを使用する「gemfile」エントリが含まれる場合、これは「git」オプションで無効だが問題なしと思われる、先頭にダッシュがある値である場合、これは false である可能性があります。レジストリの代わりに Git リポジトリからの依存関係を処理するために、Bundler は「git clone」などのさまざまなコマンドを使用します。これらのコマンドは、ユーザー入力リポジトリ URL などを使用して構築されています。コマンドを構築する際、 2.2.33 より前の Bundler は、コマンド文字列の代わりに引数の配列を渡すことで、コマンドインジェクションの脆弱性を適切に回避します。ただし、ユーザー入力はダッシュ「-」で始まるため、位置引数ではなくオプションの引数として扱われる可能性があります。一部のコマンドには、任意の実行可能ファイルを実行するために利用できるオプションがあるため、これによりコード実行が発生する可能性があります。
CVE-2023-28755
0.12.0 までの Ruby の 3.2.1までの URI コンポーネントに ReDoS の問題が見つかりました。URI パーサーが、特定の文字を含む無効な URL を不適切に処理します。これにより、URI オブジェクトに対する文字列を解析するための実行時間が増加します。
CVE-2025-27221
URIの処理メソッドURI.join、URI#merge、URI#+では、ホストを変更した後もユーザー情報が保持されるため、認証情報が意図せず漏えいします。
Debian 11 Bullseyeでは、これらの問題はバージョン3.2.5-2+deb11u1で修正されました。
お使いのrubygemsパッケージをアップグレードすることをお勧めします。
rubygems の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
https://security-tracker.debian.org/tracker/rubygems
Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS
Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Bundler パッケージをアップグレードしてください。参考資料
https://security-tracker.debian.org/tracker/source-package/rubygems
https://security-tracker.debian.org/tracker/CVE-2021-43809
https://security-tracker.debian.org/tracker/CVE-2023-28755
プラグインの詳細
深刻度: Low
ID: 236773
ファイル名: debian_DLA-4163.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2025/5/15
更新日: 2025/5/15
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 7.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2021-43809
CVSS v3
リスクファクター: High
基本値: 7.3
現状値: 6.6
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Low
Base Score: 2.1
Threat Score: 1.2
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N
CVSS スコアのソース: CVE-2025-27221
脆弱性情報
CPE: p-cpe:/a:debian:debian_linux:ruby-bundler, p-cpe:/a:debian:debian_linux:ruby-rubygems, p-cpe:/a:debian:debian_linux:bundler, cpe:/o:debian:debian_linux:11.0
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2025/5/12
脆弱性公開日: 2021/12/8