Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の ruby

medium Nessus プラグイン ID 61077

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理したり、システム管理タスクを実行する機能があります。

BigDecimal クラスを使用する際に大容量のメモリが64 ビットシステムに割り当てられる方法で、欠陥が見つかりました。コンテキスト依存の攻撃者が、この欠陥を利用し、メモリの破損を発生させることが可能です。これにより BigDecimal クラスを使用する Ruby アプリケーションをクラッシュさせることや、任意のコードを実行させることが可能です。この問題は、32 ビットのシステムには影響を与えませんでした。
（CVE-2011-0188）

FileUtils モジュールにおける削除システムのエントリメソッドに、競合状態の欠陥が見つかりました。ローカルユーザーがこのメソッドを使用する Ruby スクリプトを実行すると、ローカルの攻撃者がこの欠陥を利用して、シンボリックリンク攻撃により、そのユーザーがアクセスできる任意のファイルやディレクトリを削除することが可能です。
（CVE-2011-1004）

例外メッセージを例外クラスの文字列に変換するメソッドで、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、安全レベル 4 の制限をバイパスできます。これにより、信頼されていない（汚染した）コードが、任意の信頼されている（汚染していない）文字列を変更することが可能です。通常、このような動作は、安全レベル 4 の制限により防止されます。（CVE-2011-1005）

Ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。