It was discovered that ruby-zip, a Ruby module for reading and writing zip files, is prone to a directory traversal vulnerability. An attacker can take advantage of this flaw to overwrite arbitrary files during archive extraction via a .. (dot dot) in an extracted filename.

This update for rubygem-rubyzip fixes the following issues :

  - CVE-2017-5946: A directory traversal vulnerability could     lead to access and overwrite files that are outside of     the restricted directory (boo#1027050)

It was discovered that libzip-ruby, a Ruby module for reading and writing zip files, is prone to a directory traversal vulnerability. An attacker can take advantage of this flaw to overwrite arbitrary files during archive extraction via a .. (dot dot) in an extracted filename.

For Debian 7 'Wheezy', these problems have been fixed in version 0.9.4-1+deb7u1.

We recommend that you upgrade your libzip-ruby packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このrubygem-rubyzipの更新では、次の問題が修正されます：

  - CVE-2017-5946: ディレクトリトラバーサル脆弱性により、制限されたディレクトリの外にあるファイルにアクセスして上書きできる可能性があります（boo#1027050）

zipファイルの読み書きを行うRubyモジュールであるruby-zipが、ディレクトリトラバーサル脆弱性に脆弱であることが判明しました。攻撃者はこの欠陥を利用して、抽出されたファイル名の .. (ドットドット) を介してアーカイブの抽出中に任意のファイルを上書きできます。

已发现用于读写 zip 文件的 Ruby 模块 libzip-ruby 容易受到目录遍历漏洞的影响。攻击者可利用此缺陷在存档提取期间通过提取的文件名中的 ..（点点）来覆盖任意文件。对于 Debian 7“Wheezy”，这些问题已在 0.9.4-1+deb7u1 版本中修复。建议您升级 libzip-ruby 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

發現讀取和寫入 zip 檔案的 Ruby 模組 libzip-ruby 容易出現目錄遊走弱點。攻擊者可利用此缺陷，透過在擷取檔名中使用 .. (點點)，在封存擷取期間覆寫任意檔案。針對 Debian 7「Wheezy」，這些問題已在 0.9.4-1+deb7u1 版本中修正。建議您升級 libzip-ruby 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已发现用于读写 zip 文件的 Ruby 模块 ruby-zip 容易受到目录遍历漏洞的影响。攻击者可利用此缺陷在存档提取期间通过提取的文件名中的 ..（点点）来覆盖任意文件。

zipファイルの読み書きを行うRubyモジュールであるlibzip-rubyが、ディレクトリトラバーサル脆弱性に脆弱であることが判明しました。攻撃者はこの欠陥を利用して、抽出されたファイル名の .. (ドットドット) を介してアーカイブの抽出中に任意のファイルを上書きできます。

Debian 7「Wheezy」では、これらの問題はバージョン0.9.4-1+deb7u1で修正されました。

お使いのlibzip-rubyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

發現讀取和寫入 zip 檔案的 Ruby 模組 ruby-zip 容易出現目錄遊走弱點。攻擊者可利用此缺陷，透過在擷取檔名中使用 .. (點點)，在封存擷取期間覆寫任意檔案。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
97529	Debian DSA-3801-1 : ruby-zip - security update	Nessus	Debian Local Security Checks	2017/3/6	2021/1/11	critical
102336	openSUSE Security Update : rubygem-rubyzip (openSUSE-2017-900)	Nessus	SuSE Local Security Checks	2017/8/10	2021/1/19	critical
97559	Debian DLA-846-1 : libzip-ruby security update	Nessus	Debian Local Security Checks	2017/3/7	2021/1/11	critical
102336	openSUSEセキュリティ更新プログラム：rubygem-rubyzip（openSUSE-2017-900）	Nessus	SuSE Local Security Checks	2017/8/10	2021/1/19	critical
97529	Debian DSA-3801-1: ruby-zip - セキュリティ更新	Nessus	Debian Local Security Checks	2017/3/6	2021/1/11	critical
97559	Debian DLA-846-1：libzip-ruby 安全更新	Nessus	Debian Local Security Checks	2017/3/7	2021/1/11	critical
97559	Debian DLA-846-1：libzip-ruby 安全性更新	Nessus	Debian Local Security Checks	2017/3/7	2021/1/11	critical
97529	Debian DSA-3801-1：ruby-zip - 安全更新	Nessus	Debian Local Security Checks	2017/3/6	2021/1/11	critical
97559	Debian DLA-846-1: libzip-rubyセキュリティ更新	Nessus	Debian Local Security Checks	2017/3/7	2021/1/11	critical
97529	Debian DSA-3801-1：ruby-zip - 安全性更新	Nessus	Debian Local Security Checks	2017/3/6	2021/1/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical