Debian DSA-3157-1：ruby1.9.1 - セキュリティ更新

medium Nessus プラグイン ID 81250

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Ruby 言語のインタープリターに、複数の脆弱性が見つかりました。

- CVE-2014-4975。pack.c の encodes() 関数に、スタックベースのバッファオーバーフローを発生することがある off-by-one エラーがありました。これにより、リモートの攻撃者が、サービス拒否（クラッシュ）を引き起こしたり、任意のコードを実行したりする可能性があります。

- CVE-2014-8080、CVE-2014-8090。REXML パーサーは、大きな文字列オブジェクトを割り当てるように強制されることがあり、これにより、システム上の利用可能なすべてのメモリが消費されることがあります。これにより、リモートの攻撃者が、サービス拒否（クラッシュ）を引き起こす可能性があります。

ソリューション

ruby1.9.1 パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 1.9.3.194-8.1+deb7u3 で修正されています。

将来の安定版（stable）ディストリビューション（jessie）では、これら問題はバージョン 2.1.5-1 の ruby2.1 ソースパッケージで修正されています。