在先前的 json 上發現一個安全性瑕疵，即存在拒絕服務和建立不安全物件弱點。此弱點已指派 CVE 識別碼：CVE-2013-0269。

此新的 rpm 將會修正此問題。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機上安裝的測試產品版本比測試版本舊。因此，會受到 ALAS-2020-1422 公告中所提及的多個弱點影響。

  - jQuery 1.9.0 之前版本容易遭到跨網站指令碼 (XSS) 攻擊。jQuery(strInput) 函式無法以穩定方式區分 HTML 的選擇器。在容易遭到攻擊的版本中，jQuery 會藉由在字串中四處尋找「<」字元的方式來確定輸入內容是否為 HTML，這會讓攻擊者在試圖建構惡意承載時更有機可趁。在修正過的版本中，jQuery 只會將明確以「<」字元開頭的輸入內容視為 HTML，這使得攻擊者的身份大受限制，僅限於可控制字串開頭的極少數人。(CVE-2012-6708)

  - 在 Ruby 的 JSON gem 1.5.5 之前版本、1.6.x 的 1.6.8 之前版本以及 1.7.x 的 1.7.7 之前版本中，遠端攻擊者可以透過特製的 JSON 文件觸發任意 Ruby 符號或特定內部物件的建立，進而造成拒絕服務 (資源消耗) 或繞過大量指派保護機制，對 Ruby on Rails 發動 SQL 注入攻擊即為一例 (即「不安全物件建立弱點」)。(CVE-2013-0269)

  - jQuery 3.0.0 之前版本在沒有 dataType 選項的情況下執行跨網域 Ajax 要求時，容易遭受跨網站指令碼 (XSS)攻擊，進而造成執行文字/javascript 回應。
    (CVE-2015-9251)

  - Ruby 2.2.10 之前版本、2.3.x 的 2.3.7 之前版本、2.4.x 的 2.4.4 之前版本、2.5.x 的 2.5.1 之前版本以及 2.6-preview1 版本允許有心人士發動 HTTP 回應分割攻擊。攻擊者可將特製金鑰及值插入給 WEBrick 的 HTTP 伺服器的 HTTP 回應。(CVE-2017-17742)

  - Ruby 2.4.7 及之前版本、2.5.x 至 2.5.6 以及 2.6.x 至 2.6.4 之前版本未正確處理 File.fnmatch 函式中的路徑檢查。(CVE-2019-15845)

  - WEBrick: : HTTPAuth: : DigestAuth (在 Ruby 2.4.7 及之前版本、2.5.x 至 2.5.6以及 2.6.x 至 2.6.4 版本中) 中有一個因迴圈/回溯造成的規則運算式拒絕服務問題。受害者必須將使用 DigestAuth 的 WEBrick 伺服器洩漏到網際網路或不受信任的網路。(CVE-2019-16201)

  - Ruby 2.4.7 及之前版本、2.5.x 至 2.5.6 以及 2.6.x 至 2.6.4 版本存在 HTTP 回應分割弱點。如果使用 WEBrick 的程式在回應標頭中插入未受信任的輸入，攻擊者可惡意利用此弱點，插入新行字元以分割標頭，並插入惡意內容誘騙用戶端。注意：此問題之所以存在，是因為 CVE-2017-17742 的修正不完整，其解決了 CRLF 向量，但並未解決隔離的 CR 或隔離的 LF。(CVE-2019-16254)

  - 如果 lib/shell.rb 中的 Shell＃[] 或 Shell＃test 的第一個引數 (即命令引數) 為不受信任的資料，Ruby 2.4.7 及之前版本、2.5.x 至 2.5.6 以及 2.6.x 至 2.6.4 版本會存在程式碼插入弱點。攻擊者可惡意利用此弱點呼叫任意 Ruby 方法。(CVE-2019-16255)

  - 在 Ruby 2.4 至 2.4.9、2.5 至 2.5.7 以及 2.6 至 2.6.5 版本中使用的 JSON gem 2.2.0 及之前版本中，有一個不安全物件建立弱點。這與 CVE-2013-0269 相當類似，但不依賴 Ruby 內不良的記憶體回收行為。具體而言，使用 JSON 剖析方法可導致在解譯器中建立惡意物件，並產生與應用程式相關的負面影響。(CVE-2020-10663)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Jean-Philippe Aumasson 氏は、予想できるハッシュ値を Ruby が間違って生成していることを発見しました。攻撃者がこの問題を利用して、ハッシュ競合を発生させたり、サービス拒否を引き起こしたり可能性があります。(CVE-2012-5371)

Evgeny Ermakov 氏は、rdoc により生成される文書が、クロスサイトスクリプティングの問題に脆弱であることを発見しました。クロスサイトスクリプティングの脆弱性で、ユーザーが騙されて、特別に細工されたページを表示すると、リモートの攻撃者がこれを悪用してコンテンツを改竄したり、同一ドメイン内で機密データを盗み出したりするおそれがあります。
(CVE-2013-0256)

Thomas Hollstegge 氏および Ben Murphy 氏は、Ruby の JSON 実装が、特定の細工されたドキュメントを間違って処理していることを発見しました。
攻撃者がこの問題を利用して、サービス拒否を引き起こしたり、特定の保護メカニズムをバイパスしたりする可能性があります。（CVE-2013-0269）。

サービス拒否および安全でないオブジェクト作成の脆弱性が存在する以前の json に、セキュリティの欠陥が見つかりました。この脆弱性には、CVE 識別子、CVE-2013-0269 が割り当てられています。

この新しい rpm は、この問題を修正します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Aaron Patterson 氏による報告：

特定の JSON ドキュメントを解析する際に、JSON gem は、ターゲットシステムで Ruby 記号の作成を強制される可能性があります。これにより、Ruby 記号はガベージコレクションの対象ではないため、DoS 攻撃（サービス拒否攻撃）が発生する可能性があります。

これと同じ技法を使用すれば、内部オブジェクトのように動作するオブジェクトをターゲットシステムで作成することが可能です。これらの「動作が同様」のオブジェクトは、特定のセキュリティメカニズムをバイパスするために使用されたり、Ruby on Rails において、SQL インジェクション攻撃のきっかけとして使用される可能性があります。

リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS-2020-1422のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.9.0より前のjQueryは、クロスサイトスクリプティング（XSS）攻撃に対して脆弱です。jQuery(strInput)関数は、信頼できる方法でセレクターとHTMLを区別しません。脆弱なバージョンのjQueryでは、文字列内で「<」文字を検索することによって入力がHTMLであるかどうかを判断していたため、攻撃者は簡単に悪意のあるペイロードを構築できました。修正済みバージョンのjQueryでは、「<」文字で明示的に始まる場合にのみ、入力がHTMLであると見なされます。これにより、文字列の始まりを制御可能な攻撃者のみに悪用可能性が制限されます。この方法は、あまり一般的ではありません。（CVE-2012-6708）

  Ruby用のJSON gemの1.5.5より前、1.6.8より前の1.6.x、および1.7.7より前の1.7.xでは、リモート攻撃者が、任意のRuby記号または特定の内部オブジェクトの作成を発生させる細工されたJSONドキュメントを介して、サービス拒否（リソース消費）を引き起こしたり、大量の割り当て保護機構をバイパスしたりする可能性があります。このことは、RailsのRubyに対するSQLインジェクション攻撃の実行によって示されており、別名「Unsafe Object Creation Vulnerability（安全ではないオブジェクト作成の脆弱性）」と呼ばれます。（CVE-2013-0269）

  - 3.0.0より前のjQueryは、クロスドメインAjaxリクエストがdataTypeオプションなしで実行された場合のクロスサイトスクリプティング（XSS）攻撃に対して脆弱です。これにより、text/javascript応答が実行されます。
    （CVE-2015-9251）

  - Rubyの2.2.10より前、2.3.7より前の2.3.x、2.4.4より前の2.4.x、2.5.1より前の2.5.x、および2.6.0-preview1では、HTTP応答分割攻撃が引き起こされる可能性があります。攻撃者は、WEBrickのHTTPサーバーのHTTP応答に細工したキーと値を挿入する可能性があります。（CVE-2017-17742）

  - Rubyの2.4.7以前、2.5.x～2.5.6、および2.6.x～2.6.4では、File.fnmatch関数内でパスチェックが誤って処理されます。（CVE-2019-15845）

  - WEBrick: : HTTPAuth: : DigestAuth（Rubyの2.4.7以前、2.5.x～2.5.6、および2.6.x～2.6.4）では、ループ/バックトラックによる正規表現サービス拒否が発生します。被害者は、DigestAuthを使用するWEBrickサーバーをインターネットまたは信頼できないネットワークにさらさなければなりません。（CVE-2019-16201）

  - Rubyの2.4.7以前、2.5.x〜2.5.6、および2.6.x〜2.6.4では、HTTP応答分割が可能です。WEBrickを使用するプログラムが信頼できない入力を応答ヘッダーに挿入すると、攻撃者が、これを悪用して、改行文字を挿入してヘッダーを分割し、悪意のあるコンテンツを挿入してクライアントをだます可能性があります。注：この問題が存在するのは、 CVE-2017-17742修正が不完全なためです。CRLFベクトルは対処されていますが、孤立したCRまたは孤立したLFは対処されていません。（CVE-2019-16254）

  - Rubyの2.4.7以前、2.5.x～2.5.6、および2.6.x～2.6.4では、lib/shell.rb内のShell#[]またはShell#testの最初の引数（別名コマンド引数）が信頼できないデータの場合に、コードインジェクションが可能になります。攻撃者が、これを悪用して、任意のRubyメソッドを呼び出す可能性があります。（CVE-2019-16255）

  - Rubyの2.4～2.4.9、2.5～2.5.7、および2.6～2.6.5で使用されているように、Ruby用の2.2.0以前のJSON gemには、安全ではないオブジェクト作成の脆弱性があります。これは、CVE-2013-0269と非常によく似ていますが、Ruby内の貧弱なガベージコレクション動作に依存しません。特に、JSON解析メソッドを使用すると、インタープリター内に悪意のあるオブジェクトが作成され、アプリケーションによって異なる悪影響が及ぶ可能性があります。（CVE-2020-10663）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
65039	Fedora 17：rubygem-json-1.6.8-1.fc17 (2013-3050)	Nessus	Fedora Local Security Checks	2013/3/6	2021/1/11	high
140096	Amazon Linux AMI：ruby24 (ALAS-2020-1422)	Nessus	Amazon Linux Local Security Checks	2020/8/31	2022/5/12	high
64799	Ubuntu 12.04 LTS / 12.10：ruby1.9.1 脆弱性（USN-1733-1）	Nessus	Ubuntu Local Security Checks	2013/2/22	2019/9/19	high
65039	Fedora 17：rubygem-json-1.6.8-1.fc17（2013-3050）	Nessus	Fedora Local Security Checks	2013/3/6	2021/1/11	high
64652	FreeBSD：Ruby -- JSON でのサービス拒否および安全でないオブジェクト作成の脆弱性（c79eb109-a754-45d7-b552-a42099eb2265）	Nessus	FreeBSD Local Security Checks	2013/2/18	2021/1/6	high
140096	Amazon Linux AMI：ruby24（ALAS-2020-1422）	Nessus	Amazon Linux Local Security Checks	2020/8/31	2022/5/12	high

検出

プラグインの検索

high

high

high

high

high

high