Oracle Linux 4/5：ruby（ELSA-2008-0897）
high Nessus プラグイン ID 67752
Language:
概要
リモート Oracle Linux ホストに、1 つ以上のセキュリティ更新がありません。説明
Red Hat セキュリティアドバイザリ 2008:0897 から：複数のセキュリティ問題を修正する、更新済みの ruby パッケージが現在 Red Hat Enterprise Linux 4 および 5 で利用可能です。
Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。
Ruby は、高速かつ簡単なオブジェクト指向のプログラミングを行うためのインタープリタ型スクリプト言語です。
Ruby DNS リゾルバーライブラリである resolv.rb が、 DNS リクエスト送信時に推測可能なトランザクション ID と固定されたソースポートを使用していました。リモートの攻撃者が、この欠陥を利用して、 DNS クエリに対する悪意ある返信を偽装することが可能です。(CVE-2008-3905)
Ruby の XML ドキュメント解析モジュール（REXML）は、大きな XML エンティティ定義の再帰のある XML ドキュメントを通じた DoS 攻撃（サービス拒否攻撃）に対して脆弱でした。特別に細工された XML ファイルを使って、REXML モジュールを使用する Ruby アプリケーションに過剰な量の CPU とメモリを使用させることが可能です。
(CVE-2008-3790)
Ruby の DL モジュールの「taintness」チェックが不充分である欠陥が発見されました。これにより、C 言語関数へ直接アクセスすることが可能です。攻撃者が、この欠陥を利用して、信頼されない汚染した入力からの引数のある外部の C 関数を呼び出すことにより、本来なら守られるべきセーフレベルの制限をバイパスすることが可能です。(CVE-2008-3657)
Ruby の HTTP サーバーツールキットである WEBrick にサービス拒否の欠陥が発見されました。リモートの攻撃者が、特別に細工された HTTP リクエストを WEBrick サーバーに送信し、サーバーに過度に長い CPU 時間を使用させる可能性があります。(CVE-2008-3656)
Ruby のセーフレベルの制限に多数の欠陥が見つかりました。
攻撃者が、注意深く細工された悪意あるスクリプトを作成し、特定のセーフレベルの制限をバイパスする可能性があります。(CVE-2008-3655)
Ruby の正規表現エンジンにサービス拒否の欠陥が見つかりました。Ruby のスクリプトが正規表現を通じた大量のデータの処理を試みた場合に、 Ruby を無限ループに陥らせ、クラッシュする可能性があります。(CVE-2008-3443)
ruby のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。
ソリューション
影響を受ける Ruby パッケージを更新してください。参考資料
https://oss.oracle.com/pipermail/el-errata/2008-October/000767.html
https://oss.oracle.com/pipermail/el-errata/2008-October/000769.html
プラグインの詳細
深刻度: High
ID: 67752
ファイル名: oraclelinux_ELSA-2008-0897.nasl
バージョン: 1.12
タイプ: local
エージェント: unix
公開日: 2013/7/12
更新日: 2021/1/14
サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.6
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
脆弱性情報
CPE: cpe:/o:oracle:linux:5, p-cpe:/a:oracle:linux:irb, p-cpe:/a:oracle:linux:ruby, p-cpe:/a:oracle:linux:ruby-devel, p-cpe:/a:oracle:linux:ruby-docs, p-cpe:/a:oracle:linux:ruby-irb, p-cpe:/a:oracle:linux:ruby-libs, p-cpe:/a:oracle:linux:ruby-mode, p-cpe:/a:oracle:linux:ruby-rdoc, p-cpe:/a:oracle:linux:ruby-ri, p-cpe:/a:oracle:linux:ruby-tcltk, cpe:/o:oracle:linux:4
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2008/10/22
脆弱性公開日: 2008/3/4
参照情報
CVE: CVE-2008-1145, CVE-2008-3443, CVE-2008-3655, CVE-2008-3656, CVE-2008-3657, CVE-2008-3790, CVE-2008-3905, CVE-2008-4310