Debian DSA-2809-1：ruby1.8 - いくつかの脆弱性

medium Nessus プラグイン ID 71220

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Ruby 言語のインタープリターに、いくつかの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2013-1821 Ben Murphy 氏が、REXML の中の無制限エンティティ拡張がホストのメモリを全て消費することで、サービス拒否が発生する可能性があることを発見しました。

- CVE-2013-4073 William（B.J.）Snow Orvis 氏は、Ruby の SSL クライアントのホスト名チェックに脆弱性があることを発見しました。これにより、中間攻撃者が、信頼できる証明機関が発行した細工された証明書を介して、SSL サーバーになりすますことができる可能性があります。

- CVE-2013-4164 Charlie Somerville 氏は、Ruby によって浮動小数点数の変換が不適切に処理されることを発見しました。Ruby を使用するアプリケーションが信頼できない入力文字列を受け入れて、これを浮動小数点数に変換する場合、このような入力を提供できる攻撃者が、アプリケーションをクラッシュすることや、アプリケーションの権限で、任意のコードを実行する可能性があります。

ソリューション

ruby1.8 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.87.302+2squeeze2 で修正されています。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 1.8.7.358-7.1+deb7u1 で修正されています。