RubyGems が SSL 接続を検証できないことがわかりました。これにより、中間者攻撃が引き起こされる可能性があります。(CVE-2012-2126)

RubyGems を使用するときに、接続が HTTPS から HTTP にリダイレクトされる可能性があることが判明しました。これにより、HTTPS を介して gem をインストールしているとユーザーが信じていても、接続が密かに HTTP にダウングレードされる可能性があります。(CVE-2012-2125)

rubygems API が安全でない正規表現を使用してバージョン文字列を検証することが発見されました。信頼されないソースからのバージョン文字列を処理するために、この API を使用するアプリケーションは、CPU 消耗による DoS 攻撃（サービス拒否攻撃）に脆弱である可能性があります。
(CVE-2013-4287)

Red Hat セキュリティアドバイザリ 2013:1441 から：

3 つのセキュリティの問題を修正する更新済みの rubygems パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

RubyGems は、サードパーティのライブラリを発行および管理する Ruby の標準フォーマットです。

RubyGems が SSL 接続を検証できないことがわかりました。これにより、中間者攻撃が引き起こされる可能性があります。(CVE-2012-2126)

RubyGems を使用するときに、接続が HTTPS から HTTP にリダイレクトされる可能性があることが判明しました。これにより、HTTPS を介して gem をインストールしているとユーザーが信じていても、接続が密かに HTTP にダウングレードされる可能性があります。(CVE-2012-2125)

rubygems API が安全でない正規表現を使用してバージョン文字列を検証することが発見されました。信頼されないソースからのバージョン文字列を処理するために、この API を使用するアプリケーションは、CPU 消耗による DoS 攻撃（サービス拒否攻撃）に脆弱である可能性があります。
(CVE-2013-4287)

Red Hat は、CVE-2013-4287 を報告してくれた Rubygems の Upstream に感謝の意を表します。Upstream は Damir Sharipov 氏を最初の報告者として認めます。

rubygems の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

1.8.23 より前の RubyGems は、HTTPS 接続を HTTP にリダイレクトできます。こうすることで、リモートの攻撃者は、中間者攻撃を介して、インストール中の gem を容易に監視または変更することができます。

汚染されていない文字列が保護安全レベルで変更されるのを、Ruby が誤って許可することが判明しました。攻撃者がこの欠陥を利用して、意図されたアクセス制限をバイパスする可能性があります。（CVE-2011-1005）

John Firebaugh 氏は、RubyGems リモート gem fetcher が SSL 証明書を適切に検証しないことを発見しました。リモートの攻撃者がこれを悪用して、中間者攻撃を実行し、インストール用にダウンロードされた gem ファイルを変更する可能性があります。（CVE-2012-2126）

John Firebaugh 氏は、RubyGems リモート gem fetcher が HTTPS から HTTP へのリダイレクションを可能にしていることを発見しました。リモートの攻撃者がこれを悪用して、中間者攻撃を実行し、インストール用にダウンロードされた gem ファイルを変更する可能性があります。（CVE-2012-2125）。

3 つのセキュリティの問題を修正する更新済みの rubygems パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

RubyGems は、サードパーティのライブラリを発行および管理する Ruby の標準フォーマットです。

RubyGems が SSL 接続を検証できないことがわかりました。これにより、中間者攻撃が引き起こされる可能性があります。(CVE-2012-2126)

RubyGems を使用するときに、接続が HTTPS から HTTP にリダイレクトされる可能性があることが判明しました。これにより、HTTPS を介して gem をインストールしているとユーザーが信じていても、接続が密かに HTTP にダウングレードされる可能性があります。(CVE-2012-2125)

rubygems API が安全でない正規表現を使用してバージョン文字列を検証することが発見されました。信頼されないソースからのバージョン文字列を処理するために、この API を使用するアプリケーションは、CPU 消耗による DoS 攻撃（サービス拒否攻撃）に脆弱である可能性があります。
(CVE-2013-4287)

Red Hat は、CVE-2013-4287 を報告してくれた Rubygems の Upstream に感謝の意を表します。Upstream は Damir Sharipov 氏を最初の報告者として認めます。

rubygems の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

新しいバージョン 1.8.23 がリリースされています。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数のセキュリティ問題を修正する更新済みの Grid コンポーネントのパッケージが、Red Hat Enterprise Linux 6 用の Red Hat Enterprise MRG 2.4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Red Hat Enterprise MRG（メッセージング、リアルタイム、グリッド）はエンタープライズコンピューティング用の次世代の IT インフラストラクチャです。MRG では、増大したパフォーマンス、信頼性、相互運用性、そしてより高速なコンピューティングを企業顧客に提供しています。

MRG Grid は高スロープットなコンピューティングを提供しています。また、企業が、既存のテクノロジーを利用して、より高度なピークコンピューティング力や改善されたインフラストラクチャの利用を実現し、高パフォーマンスグリッドを構築できるようにしています。MRG Grid は、ジョブの待ち行列メカニズム、スケジューリングポリシー、優先度スキーム、リソースの監視、およびリソース管理を提供しています。ユーザーは、MRG Grid にジョブを送信します。すると、ジョブはキューに配置されます。そして、MRG Grid はポリシーに基づいて時と場所を選択し、慎重に進度を監視し、最後には完了時にユーザーに通知を行います。

RubyGems を使用するときに、接続が HTTPS から HTTP にリダイレクトされる可能性があることが判明しました。これにより、HTTPS を介して gem をインストールしているとユーザーが信じていても、接続が密かに HTTP にダウングレードされる可能性があります。（CVE-2012-2125）

RubyGems が SSL 接続を検証できないことがわかりました。これにより、中間者攻撃が引き起こされる可能性があります。（CVE-2012-2126）

rubygems API が安全でない正規表現を使用してバージョン文字列を検証することが発見されました。信頼されないソースからのバージョン文字列を処理するために、この API を使用するアプリケーションは、CPU 消耗による DoS 攻撃（サービス拒否攻撃）に脆弱である可能性があります。
（CVE-2013-4287）

cumin がユーザーロールを強制していた方法で、欠陥が見つかりました。この欠陥により、権限のない cumin ユーザーは適切なロールなしで、あらゆるリソースにアクセスできるようになります。リモートの認証されている攻撃者はこの欠陥を利用して特権情報にアクセスすることや、多様な特権操作を行うことができます。（CVE-2013-4404）

cumin Web インターフェイスがクロスサイトリクエスト偽造（CSRF）攻撃に対する保護を提供しないことが見つかりました。リモートの攻撃者は cumin Web インターフェイスにログインしているユーザーを騙して、特別に細工された URL にアクセスさせることができれば、ログインしているユーザーのコンテキストでアクションを実行できることがあります。（CVE-2013-4405）

cumin が、cumin Web インターフェイスの「Set limit」フォームの「Max allowance」フィールドから入力を適切にエスケープしていないことが見つかりました。リモートの攻撃者がこの欠陥を利用して、クロスサイトスクリプティング（XSS）攻撃を被害者に対して実行し、被害者を騙して、特別に細工された URL にアクセスさせることができます。（CVE-2013-4414）

cumin が POST リクエストデータを解析していた方法で、欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、cumin のデータベースで SQL インジェクション攻撃を行う可能性があります。（CVE-2013-4461）

Red Hat は、CVE-2013-4287 を報告してくれた Rubygems の Upstream に感謝の意を表します。Upstream は Damir Sharipov 氏を CVE-2013-4287 の最初の報告者として認識しています。CVE-2013-4404、CVE-2013-4405、CVE-2013-4414、および CVE-2013-4461 の問題は、Red Hat MRG 品質エンジニアリングチームの Tomáš Nováčik 氏により発見されました。

Red Hat Enterprise MRG の Grid 機能の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

2つのセキュリティの問題を修正する更新済みのrubygemsパッケージが、Red Hat OpenShift Enterprise 1.2.2で利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに与える影響を重要度中であると評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。Rubyではサードパーティのライブラリの発行と管理に、RubyGemsが標準で使用されます。RubyGemsを使用するときに、接続がHTTPSからHTTPにリダイレクトされる可能性があることがわかりました。これにより、HTTPSを介してgemをインストールしているとユーザーが信じていても、接続が密かにHTTPにダウングレードされる可能性があります。（CVE-2012-2125）RubyGemsがSSL接続を検証しないことがわかりました。これにより、中間者攻撃を仕掛けられる可能性があります。（CVE-2012-2126）Red Hat OpenShift Enterprise 1.2.2のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

John Firebaugh 氏は、RubyGems リモート gem fetcher が SSL 証明書を適切に検証しないことを発見しました。リモートの攻撃者がこれを悪用して、中間者攻撃を実行し、インストール用にダウンロードされた gem ファイルを変更する可能性があります。（CVE-2012-2126）

John Firebaugh 氏は、RubyGems リモート gem fetcher が HTTPS から HTTP へのリダイレクションを可能にしていることを発見しました。リモートの攻撃者がこれを悪用して、中間者攻撃を実行し、インストール用にダウンロードされた gem ファイルを変更する可能性があります。（CVE-2012-2125）。

この rubygems があることで、HTTPS 接続は HTTP に今後リダイレクトしません。
また、rubygems は SSL 接続も検証するようになりました。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートの Solaris システムに、次のセキュリティの更新に対処するのに必要なパッチがありません：

- 1.8.23 以前の RubyGems は、HTTPS 接続を HTTP にリダイレクトできます。こうすることで、リモートの攻撃者は、中間者攻撃を介して、インストール中の gem を容易に観察または変更することができます。(CVE-2012-2125)

- 1.8.23 以前の RubyGems は、SSL 証明書を検証しないため、リモートの攻撃者は、中間者攻撃を介して、インストール中の gem を変更することができます。
 (CVE-2012-2126)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
70491	Scientific Linux セキュリティ更新：SL6.x の rubygems（noarch）	Nessus	Scientific Linux Local Security Checks	2013/10/18	2021/1/14	medium
70524	Oracle Linux 6：rubygems（ELSA-2013-1441）	Nessus	Oracle Linux Local Security Checks	2013/10/20	2021/1/14	medium
69686	Amazon Linux AMI：rubygems（ALAS-2012-79）	Nessus	Amazon Linux Local Security Checks	2013/9/4	2018/4/18	medium
62307	Ubuntu 12.04 LTS：ruby1.9.1 脆弱性（USN-1583-1）	Nessus	Ubuntu Local Security Checks	2012/9/26	2019/9/19	medium
70489	RHEL 6：rubygems（RHSA-2013:1441）	Nessus	Red Hat Local Security Checks	2013/10/18	2021/1/14	medium
70501	CentOS 6：rubygems（CESA-2013:1441）	Nessus	CentOS Local Security Checks	2013/10/20	2021/1/4	medium
58957	Fedora 17：rubygems-1.8.23-20.fc17（2012-6132）	Nessus	Fedora Local Security Checks	2012/5/2	2021/1/11	medium
76671	RHEL 6：MRG（RHSA-2013:1852）	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	high
119343	RHEL 6：rubygems（RHSA-2013:1203）	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	medium
62306	Ubuntu 12.04 LTS：rubygems の脆弱性（USN-1582-1）	Nessus	Ubuntu Local Security Checks	2012/9/26	2019/9/19	medium
58933	Fedora 16：rubygems-1.8.11-3.fc16.1（2012-6409）	Nessus	Fedora Local Security Checks	2012/5/1	2021/1/11	medium
58935	Fedora 15：rubygems-1.7.2-5.fc15（2012-6414）	Nessus	Fedora Local Security Checks	2012/5/1	2021/1/11	medium
80759	Oracle Solaris サードパーティのパッチの更新：rubygems（cve_2012_2125_https_to）	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

medium

medium