ruby 中發現一個弱點且已更正：

Ruby 1.8 版、1.9.3-p484 以前的 1.9 版、2.0.0-p353 以前的 2.0 版、2.1.0 preview2 以前的 2.1 版和修訂版 43780 以前的主幹中，堆積型緩衝區溢位允許內容相依的攻擊者透過轉換為浮點值的字串造成拒絕服務 (分割錯誤)，且可能執行任意程式碼，使用 (1) to_f 方法或 (2) JSON.parse 即為一例 (CVE-2013-4164)。

已修補更新版套件，以更正這些問題。

Charlie Somerville 發現 Ruby 錯誤處理浮點數轉換。攻擊者可能利用應用程式的這個問題，將文字轉換成浮點數，造成應用程式損毀，進而導致拒絕服務，或可能執行任意程式碼。(CVE-2013-4164)

Vit Ondruch 發現 Ruby 未針對特定函式執行污染檢查。攻擊者可能利用此問題繞過某些預定的限制。(CVE-2013-2065)。

在目前於 Fedora 19 上提供的 Ruby 中發現一個浮點數剖析溢位。此弱點已指派 CVE 識別碼：CVE-2013-4164。

這個新的 rpm 應能修正此問題。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，遠端主機上安裝的 Puppet Enterprise 3.x 比 3.1.1 舊。因此，據稱其受到多個弱點影響：

- 存在一個與隨附之 Ruby 版本以及處理字串至浮點轉換相關的輸入驗證錯誤，可允許拒絕服務攻擊或任意程式碼執行。(CVE-2013-4164)

- 存在一個與隨附之 RubyGems 版本及 'gem build'、'Gem::Package' 和 'Gem::PackageTask' API 呼叫相關的錯誤，其可允許拒絕服務攻擊。(CVE-2013-4363)

- Ruby 的 'i18n' gem 中存在一個錯誤，可允許跨網站指令碼攻擊。(CVE-2013-4491)

- 存在一個與處理暫存檔相關的錯誤，可允許本機攻擊者使用符號連結攻擊來覆寫檔案。(CVE-2013-4969)

- 存在一個與隨附之 Ruby on Rails、「動作檢視」及處理某些標頭相關的錯誤，可允許拒絕服務攻擊。(CVE-2013-6414)

- 存在一個與隨附的 Ruby on Rails 及 'number_to_currency' 協助程式中的 'unit' 參數相關的輸入驗證錯誤，可允許跨網站指令碼攻擊。(CVE-2013-6415)

- 存在一個與隨附的 Ruby on Rails、JSON 參數剖析及 SQL 查詢相關的輸入驗證錯誤，可允許 SQL 插入攻擊。
 (CVE-2013-6417)

下列安全性問題已在 ruby19 中修正：

下列安全性問題已在 ruby20 中修正：

- 修正 CVE-2013-4164：浮點剖析中的堆積溢位 (bnc#851803) 檔案 CVE-2013-4164.patch 含有修補程式

遠端 Solaris 系統缺少處理安全性更新的必要修補程式：

  - Ruby 1.8 版、1.9.3-p484 以前的 1.9 版、 2.0.0-p353 以前的 2.0版、  2.1.0 preview2 的 2.1 版和修訂版 43780 以前的主幹中，堆積型緩衝區溢位問題允許內容相依的攻擊者透過轉換為浮點值的字串造成拒絕服務 (分割錯誤)，且可能執行任意程式碼，使用 (1) to_f 方法或 (2) JSON.parse 即為一例。(CVE-2013-4164)

遠端 Redhat Enterprise Linux 6 主機已安裝受到一個弱點影響的套件，如 RHSA-2014:0011 公告中所提及。

    Ruby 是可延伸的解譯式物件導向指令碼語言。
    它具有處理文字檔案及執行系統管理工作的功能。

    在 Ruby 剖析來自文字表示法之浮點數字的方式中發現一個緩衝區溢位瑕疵。如果使用 Ruby 的應用程式接受未受信任的輸入字串並將其轉換為浮點數，能夠提供此類輸入的攻擊者可使應用程式損毀，或可能以應用程式的權限執行任意程式碼。 (CVE-2013-4164)

    建議 Red Hat OpenStack 3.0 使用者升級至這些更新版套件，其可更正此問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-201412-27 中所述的弱點影響 (Ruby：拒絕服務)

    在 Ruby 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    內容相依的攻擊者可能以處理程序的權限執行任意程式碼、造成拒絕服務情形或是繞過安全性限制。
  因應措施：

    目前尚無已知的因應措施。

The remote host is running a version of Mac OS X that is older than 10.9.3, and is thus missing security-related fixes for the following components:

  - CFNetwork HTTPProtocol
  - CoreServicesUIAgent
  - FontParser
  - Heimdal Kerberos
  - ImageIO
  - Intel Graphics Driver
  - IOKit Kernel
  - Kernel
  - Power Management
  - Ruby
  - Security
  - Secure Transport
  - Window Server

Note that successful exploitation of the most serious issues could result in arbitrary code execution.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
71100	Mandriva Linux 安全性公告：ruby (MDVSA-2013:286)	Nessus	Mandriva Local Security Checks	2013/11/27	2021/1/6	medium
71139	Ubuntu 12.04 LTS / 12.10 / 13.04 / 13.10：ruby1.8、ruby1.9.1 弱點 (USN-2035-1)	Nessus	Ubuntu Local Security Checks	2013/11/29	2019/9/19	medium
71328	Fedora 18 : ruby-1.9.3.484-32.fc18 (2013-22315)	Nessus	Fedora Local Security Checks	2013/12/11	2021/1/11	medium
73132	Puppet Enterprise 3.x < 3.1.1 多個弱點	Nessus	CGI abuses	2014/3/21	2021/1/19	medium
75221	openSUSE 安全性更新：ruby19 (openSUSE-SU-2013:1835-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
75224	openSUSE 安全性更新：ruby20 (openSUSE-SU-2013:1834-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
80758	Oracle Solaris 第三方修補程式更新：ruby (cve_2013_4164_buffer_errors)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
234422	RHEL 6：ruby193-ruby (RHSA-2014:0011)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	critical
79980	GLSA-201412-27：Ruby：拒絕服務	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	high
8265	Mac OS X < 10.9.3 Multiple Vulnerabilities (Security Update 2014-002)	Nessus Network Monitor	Web Clients	2014/5/27	2019/3/6	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

critical

high

critical