リモートの Ubuntu 16.04LTS/18.04 LTS/20.04 LTS/21.04/21.10ホストには、USN-5235-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - CGI: : Cookie.parse (Ruby 2.6.8 まで) が、Cookie 名のセキュリティプレフィックスを不適切に処理します。これは、Ruby に対する 0.3.0までの CGI gem にも影響を与えます。(CVE-2021-41819)

  - Ruby 2.7.5より前、および 3.0.3より前の 3.xの CGI.escape_html には、整数オーバーフローがあり、プラットフォーム (Windows など) で size_t と long のバイト数が異なる長い文字列を介してバッファオーバーフローが発生します。これは、Ruby に対する 0.3.1より前の CGI gem にも影響を与えます。(CVE-2021-41816)

  - Ruby の 3.2.0までの日付 gem の Date.parse により、長い文字列を介して ReDoS (正規表現のサービス拒否) が可能です。修正されたバージョンは、3.2.1、3.1.2、3.0.2、および 2.0.1です。(CVE-2021-41817)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているrubyのバージョンは、3.0.3-154より前のバージョンです。したがって、ALAS2RUBY3.0-2023-003 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Ruby 2.7.5より前、および 3.0.3より前の 3.xの CGI.escape_html には、整数オーバーフローがあり、プラットフォーム (Windows など) で size_t と long のバイト数が異なる長い文字列を介してバッファオーバーフローが発生します。これは、Ruby に対する 0.3.1より前の CGI gem にも影響を与えます。(CVE-2021-41816)

  - Ruby の 3.2.0までの日付 gem の Date.parse により、長い文字列を介して ReDoS (正規表現のサービス拒否) が可能です。修正されたバージョンは、3.2.1、3.1.2、3.0.2、および 2.0.1 です。(CVE-2021-41817)

  - CGI : : Cookie.parse (Ruby 2.6.8 まで) が、Cookie 名のセキュリティプレフィックスを不適切に処理します。これは、Ruby に対する 0.3.0 までの CGI gem にも影響を与えます。(CVE-2021-41819)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dsa-5067 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - CGI: : Cookie.parse (Ruby 2.6.8まで) が、クッキー名のセキュリティプレフィックスを不適切に処理します。これは、Ruby に対する 0.3.0までの CGI gem にも影響を与えます。(CVE-2021-41819)

  - Ruby 2.7.5より前、および 3.0.3より前の 3.xの CGI.escape_html には、整数オーバーフローがあり、プラットフォーム (Windowsなど) で size_t と long のバイト数が異なる長い文字列を介してバッファオーバーフローが発生します。これは、Ruby に対する 0.3.1より前の CGI gem にも影響を与えます。(CVE-2021-41816)

  - Ruby の 3.2.0までの日付 gem の Date.parse により、長い文字列を介して ReDoS (正規表現のサービス拒否) が可能です。修正されたバージョンは、3.2.1、3.1.2、3.0.2、および 2.0.1です。(CVE-2021-41817)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2022: 6855 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ruby：CGI.escape_html のバッファオーバーフロー (CVE-2021-41816)

  - ruby：日付の解析方法における通常の式のサービス拒否の脆弱性 (CVE-2021-41817)

  - ruby：CGI におけるクッキープレフィックスのなりすまし：: Cookie.parse (CVE-2021-41819)

  - Ruby：Regexp コンパイルでの二重解放 (CVE-2022-28738)

  - Ruby：文字列から浮動小数点への変換におけるバッファオーバーラン (CVE-2022-28739)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2022: 6856 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - ruby：CGI.escape_html のバッファオーバーフロー (CVE-2021-41816)

  - ruby：日付の解析方法における通常の式のサービス拒否の脆弱性 (CVE-2021-41817)

  - ruby：CGI におけるクッキープレフィックスのなりすまし：: Cookie.parse (CVE-2021-41819)

  - Ruby：文字列から浮動小数点への変換におけるバッファオーバーラン (CVE-2022-28739)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
156802	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS : Ruby の脆弱性 (USN-5235-1)	Nessus	Ubuntu Local Security Checks	2022/1/18	2024/8/29	critical
181933	Amazon Linux 2: ruby (ALASRUBY3.0-2023-003)	Nessus	Amazon Linux Local Security Checks	2023/9/27	2024/12/11	critical
157380	Debian DSA-5067-1: ruby2.7 - セキュリティ更新	Nessus	Debian Local Security Checks	2022/2/4	2025/1/24	critical
166007	RHEL 7: rh-ruby30-ruby (RHSA-2022: 6855)	Nessus	Red Hat Local Security Checks	2022/10/11	2024/11/7	critical
166011	RHEL 7: rh-ruby27-ruby (RHSA-2022: 6856)	Nessus	Red Hat Local Security Checks	2022/10/11	2024/11/8	critical

検出

プラグインの検索

critical

critical

critical

critical

critical