Oracle Solaris サードパーティのパッチの更新：ruby（cve_2013_4073_cryptographic_issues）

medium Nessus プラグイン ID 80755

Language:

概要

リモートの Solaris システムに、サードパーティのソフトウェアに対するセキュリティのパッチがありません。

説明

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 1.8.6 から 1.8.6-420 までの Ruby、1.8.7 から 1.8.7-330 までの Ruby、および Ruby 1.8.8dev の安全レベル機能により、コンテキスト依存の攻撃者が、意図されたパス名の変更で示されるように、Exception#to_s メソッドを介して文字列を変更する可能性があります。(CVE-2011-1005)

- Ruby 1.8.7 の安全レベル機能により、コンテキスト依存の攻撃者が、Ruby オブジェクトの操作時に、NameError#to_s メソッドを介して文字列を変更する可能性があります。
注：この問題は、CVE-2011-1005 の修正が不完全であるため存在しています。(CVE-2012-4481)

- 1.8.7-p374 より前の Ruby 1.8、1.9.3-p448 より前の Ruby 1.9、および 2.0.0-p247 より前の Ruby 2.0 の lib/openssl/ssl.rb における OpenSSL::SSL.verify_certificate_identity 関数が、X.509 証明書の Subject Alternative Name フィールドのドメイン名で「\0」文字を適切に処理しません。これにより、中間攻撃者が、正当な証明機関が発行した細工された証明書を介して、任意の SSL サーバーになりすます可能性があります。これは CVE-2009-2408 に関連する問題です。(CVE-2013-4073)