Amazon Linux AMI：ruby（ALAS-2013-173）
medium Nessus プラグイン ID 69732
Language:
概要
リモートのAmazon Linux AMIホストに、セキュリティ更新プログラムがありません。説明
Ruby の REXML ライブラリが、XML エンティティ拡張を適切に制限しないことがわかりました。攻撃者はこの欠陥を利用して、REXML を使用する Ruby アプリケーションを騙して、特別に細工された XML コンテンツからテキストノードを読み込ませることでサービス拒否を引き起こす可能性があり、これによって REXML は大量のシステムメモリを消費することになります。（CVE-2013-1821）RHSA-2011-0910 の更新が、CVE-2011-1005 の問題、つまり、例外メッセージを例外クラスの文字列に変換する方法にある欠陥を、適切に修正していないことが見つかりました。リモートの攻撃者が、この欠陥を悪用して、安全レベル4の制限をバイパスする可能性があります。これにより、信頼できない（汚染した）コードにより、任意の信頼されている（汚染していない）文字列が変更される可能性があります。欠陥がなければ、このような動作は、安全レベル4の制限により防止されます。（CVE-2012-4481）
1.8.6 から 1.8.6-420 までの Ruby、1.8.7 から 1.8.7-330 までの Ruby、および Ruby 1.8.8dev の安全レベル機能により、コンテキスト依存の攻撃者が、意図されたパス名の変更で示されるように、Exception#to_s メソッドを介して文字列を変更する可能性があります。（CVE-2011-1005）
ソリューション
「yum update ruby」を実行してシステムを更新してください。参考資料
プラグインの詳細
深刻度: Medium
ID: 69732
ファイル名: ala_ALAS-2013-173.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
公開日: 2013/9/4
更新日: 2018/4/18
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.4
CVSS v2
リスクファクター: Medium
基本値: 5
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N
脆弱性情報
CPE: p-cpe:/a:amazon:linux:ruby, p-cpe:/a:amazon:linux:ruby-debuginfo, p-cpe:/a:amazon:linux:ruby-devel, p-cpe:/a:amazon:linux:ruby-irb, p-cpe:/a:amazon:linux:ruby-libs, p-cpe:/a:amazon:linux:ruby-rdoc, p-cpe:/a:amazon:linux:ruby-ri, p-cpe:/a:amazon:linux:ruby-static, cpe:/o:amazon:linux
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
パッチ公開日: 2013/3/14