ruby-openid performed discovery first, and then verification. This allowed an attacker to change the URL used for discovery and trick the server into connecting to the URL. This server in turn could be a private server not publicly accessible.

Furthermore, if the client that uses this library discloses connection errors, this in turn could disclose information from the private server to the attacker.

For Debian 8 'Jessie', this problem has been fixed in version 2.5.0debian-1+deb8u1.

We recommend that you upgrade your ruby-openid packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.8.0 までの Ruby OpenID (別名 ruby-openid) には、リモートで悪用される可能性のある欠陥が存在します。このライブラリは、Rails Web アプリケーションが OpenID プロバイダーと統合するために使用されます。深刻度については、ウェブアプリケーション開発者が ruby-openid ライブラリをどのように使用するかに応じて、中程度から重大までの範囲になります。プロジェクトが提供するサンプルアプリに大きく依存して OpenID 統合を実行する開発者が、最大のリスクにさらされます。
    (CVE-2019-11027)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ruby-openidは、最初に検出を実行し、次に検証を実行していました。そのため、検出に使用されるURLを攻撃者が変更し、サーバーがそのURLに接続するように細工する可能性がありました。このサーバーは、公開アクセスできないプライベートサーバーの可能性があります。

さらに、このライブラリを使用するクライアントから接続エラーが漏えいした場合、プライベートサーバーからの情報が攻撃者に漏えいする可能性があります。

Debian 8「Jessie」では、この問題はバージョン2.5.0debian-1+deb8u1で修正されました。

ruby-openidのパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ruby-openid 會先執行探索，然後再執行驗證。攻擊者可利用這一點，先變更用於探索的 URL，再誘騙伺服器連線至該 URL。此伺服器可能會變成無法公開存取的私人伺服器。

此外，若使用此程式庫的用戶端洩露連線錯誤，就會導致私人伺服器將資訊洩露給攻擊者。

針對 Debian 8「Jessie」，已在 2.5.0debian-1+deb8u1 版本中修正此問題。

建議您升級 ruby-openid 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

The remote host is affected by the vulnerability described in GLSA-202003-09 (OpenID library for Ruby: Server-Side Request Forgery)

    It was discovered that OpenID library for Ruby performed discovery       first, and then verification.
  Impact :

    A remote attacker could possibly change the URL used for discovery and       trick the server into connecting to the URL. This server in turn could be       a private server not       publicly accessible.
    In addition, if the client that uses this library discloses connection       errors, this in turn could disclose information from the private server       to the attacker.
  Workaround :

    There is no known workaround at this time.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Ruby OpenID (aka ruby-openid) through 2.8.0 has a remotely exploitable flaw. This library is used by Rails     web applications to integrate with OpenID Providers. Severity can range from medium to critical, depending     on how a web application developer chose to employ the ruby-openid library. Developers who based their     OpenID integration heavily on the example app provided by the project are at highest risk.
    (CVE-2019-11027)

Note that Nessus relies on the presence of the package as reported by the vendor.

ruby-openid 先执行发现操作，然后进行验证。攻击者可利用此漏洞，更改用于发现的 URL，并诱骗服务器连接至此 URL。此服务器转而成为个人服务器，不可公开访问。

此外，如果使用此库的客户端公开连接错误，则会向攻击者泄露个人服务器的信息。

对于 Debian 8“Jessie”，此问题已在版本 2.5.0debian-1+deb8u1 中修复。

我们建议您升级 ruby-openid 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端主機受到 GLSA-202003-09 中所述的弱點影響 (OpenID library for Ruby：伺服器端要求偽造) 據發現，OpenID library for Ruby 先執行探索，再執行驗證。影響：遠端攻擊者可能變更用於探索的 URL，再誘騙伺服器連線至該 URL。此伺服器可能會變成無法公開存取的私人伺服器。此外，若使用此程式庫的用戶端洩露連線錯誤，就會導致私人伺服器將資訊洩露給攻擊者。因應措施：目前尚無已知的因應措施。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Ruby OpenID (即 ruby-openid) 2.8.0 及其之前所有版本中包含可從遠端利用的缺陷。Rails Web 應用程式使用此程式庫與 OpenID 提供程式整合。嚴重性可從中等到重大不等，取決於 Web 應用程式開發人員選擇採用 ruby-openid 程式庫的方式。嚴重依賴專案提供的範例應用程式來構建 OpenID 整合的開發人員所面臨的風險最高。
    (CVE-2019-11027)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机受到 GLSA-202003-09 中所述漏洞的影响（Ruby 的 OpenID 库：服务器端请求伪造）发现 Ruby 的 OpenID 库首先执行发现，然后验证。影响：远程攻击者可能更改用于发现的 URL，并诱骗服务器连接至 URL。此服务器转而成为个人服务器，不可公开访问。此外，如果使用此库的客户端公开连接错误，则会将个人服务器的信息泄露给攻击者。解决方法：目前无任何已知的解决方法。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Ruby OpenID（又称 ruby-openid）2.8.0 及之前所有版本均包含可遭远程利用的缺陷。Rails Web 应用程序使用此库与 OpenID 提供程序集成。严重程度从中危到危急，取决于 Web 应用程序开发人员选择使用 ruby-openid 库的方式。开发人员如果将其 OpenID 集成主要基于项目所提供的示例应用程序，则面临的风险最高。
    (CVE-2019-11027)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
129801	Debian DLA-1956-1 : ruby-openid security update	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	critical
258807	Linux Distros のパッチ未適用の脆弱性: CVE-2019-11027	Nessus	Misc.	2025/8/30	2025/8/30	critical
129801	Debian DLA-1956-1 : ruby-openidセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	critical
129801	Debian DLA-1956-1：ruby-openid 安全性更新	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	critical
134586	GLSA-202003-09 : OpenID library for Ruby: Server-Side Request Forgery	Nessus	Gentoo Local Security Checks	2020/3/16	2024/3/22	critical
258807	Linux Distros Unpatched Vulnerability : CVE-2019-11027	Nessus	Misc.	2025/8/30	2025/8/30	critical
129801	Debian DLA-1956-1：ruby-openid 安全更新	Nessus	Debian Local Security Checks	2019/10/11	2024/4/18	critical
134586	GLSA-202003-09：OpenID library for Ruby：伺服器端要求偽造	Nessus	Gentoo Local Security Checks	2020/3/16	2024/3/22	critical
258807	Linux Distros 未修補弱點：CVE-2019-11027	Nessus	Misc.	2025/8/30	2025/8/30	critical
134586	GLSA-202003-09：Ruby 的 OpenID 库：服务器端请求伪造	Nessus	Gentoo Local Security Checks	2020/3/16	2024/3/22	critical
258807	Linux Distros 未修补的漏洞：CVE-2019-11027	Nessus	Misc.	2025/8/30	2025/8/30	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical