CentOS Linux 7 [TuxCare] セキュリティ更新プログラム:ruby/ruby-devel/ruby-doc/ruby-irb/ruby-libs/etcの複数の脆弱性(CENTOS7:CLSA-2025:1745585192)

high Nessus プラグイン ID 352268

Language:

概要

CentOS Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

CentOS Linux 7ホストには、TuxCare CENTOS7:CLSA-2025:1745585192アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- REXML は、Ruby 用の XML ツールキットです。3.3.9 以前の REXML gem には、16 進数値文字参照 (&#x...;) 内の &# と x...; の間に多くの数字が含まれる XML を解析する際に引き起こされる ReDoS の脆弱性があります。これは Ruby では発生しません 3.2 またはそれ以降にアップグレードしてください。Ruby 3.1 は、影響を受ける唯一のメンテナンスされた Ruby です。REXML gem 3.3.9 以降には、脆弱性を修正するパッチが含まれています。(CVE-2024-49761)

- Ruby の 0.4.2 より前の CGI gem において、CGI ライブラリの CGI::Cookie.parse メソッドに潜在的なサービス拒否(DoS)の脆弱性が含まれています。このメソッドでは、処理する未加工のクッキー値の長さに制限を加えません。この見落としにより、非常に大きなクッキーを解析する際に過剰なリソース消費が引き起こされる可能性があります。(CVE-2025-27219)

- Ruby の CGI gem Before 0.4.2 において、正規表現のサービス拒否(ReDoS)の脆弱性が Util#escapeElement メソッドに存在します。(CVE-2025-27220)

- Ruby の 1.0.3 前の URI gem では、ホストの変更後でもユーザー情報が保持されるため、URI 処理メソッド(URI.join、URI#merge、URI#+)で、不注意で認証情報が漏洩します。(CVE-2025-27221)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。