FreeBSD：Ruby -- JSON でのサービス拒否および安全でないオブジェクト作成の脆弱性（c79eb109-a754-45d7-b552-a42099eb2265）
high Nessus プラグイン ID 64652
Language:
概要
リモート FreeBSD ホストに 1 つ以上のセキュリティ関連の更新が見つかりません。説明
Aaron Patterson 氏による報告：特定の JSON ドキュメントを解析する際に、JSON gem は、ターゲットシステムで Ruby 記号の作成を強制される可能性があります。これにより、Ruby 記号はガベージコレクションの対象ではないため、DoS 攻撃（サービス拒否攻撃）が発生する可能性があります。
これと同じ技法を使用すれば、内部オブジェクトのように動作するオブジェクトをターゲットシステムで作成することが可能です。これらの「動作が同様」のオブジェクトは、特定のセキュリティメカニズムをバイパスするために使用されたり、Ruby on Rails において、SQL インジェクション攻撃のきっかけとして使用される可能性があります。
ソリューション
影響を受けるパッケージを更新してください。参考資料
プラグインの詳細
深刻度: High
ID: 64652
ファイル名: freebsd_pkg_c79eb109a75445d7b552a42099eb2265.nasl
バージョン: 1.7
タイプ: local
公開日: 2013/2/18
更新日: 2021/1/6
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: High
基本値: 7.5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
脆弱性情報
CPE: p-cpe:/a:freebsd:freebsd:ruby, p-cpe:/a:freebsd:freebsd:rubygem18-json, p-cpe:/a:freebsd:freebsd:rubygem18-json_pure, p-cpe:/a:freebsd:freebsd:rubygem19-json, p-cpe:/a:freebsd:freebsd:rubygem19-json_pure, cpe:/o:freebsd:freebsd
必要な KB アイテム: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info
パッチ公開日: 2013/2/16
脆弱性公開日: 2013/2/11
参照情報
CVE: CVE-2013-0269