ruby19 は、以下のセキュリティの問題を修正するために更新されています：

- CVE-2013-2065 を修正：DL と Fiddle のオブジェクト汚染バイパス（bnc#843686）ファイル CVE-2013-2065.patch はパッチを含んでいます。

- CVE-2013-4287 CVE-2013-4363 を修正：ruby19：アルゴリズムの複雑性の脆弱性（bnc#837457）ファイル CVE-2013-4287-4363.patch はパッチを含んでいます。

新しい ruby パッケージが Slackware 13.1、13.37、14.0、最新版で利用可能であり、
-セキュリティの問題を修正します。

Ruby の DL と Fiddle で脆弱性が見つかりました。 Ruby で設定された $SAFE レベルに関わらず、汚染した文字列をシステムコールに使用することができます。この脆弱性には、CVE 識別子、CVE-2013-2065 が割り当てられています。

この新しい rpm は、この課題を修正します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Ruby 開発者のレポート：

Ruby の DL と Fiddle に、Ruby で設定された $SAFE レベルに関わらず、汚染した文字列をシステムコールに使用することができる脆弱性があります。

DL または Fiddle のある Ruby に露出するネイティブ関数は、渡されたオブジェクトに設定された汚染値をチェックしません。これにより、SecurityError の例外が上がるべきときに、汚染されたオブジェクトが入力として受け入れられる可能性があります。

1.9.3 パッチレベル 426 以前の 1.9、および 2.0.0 パッチレベル 195 以前の 2.0 の Ruby の（1）DL および（2）Fiddle で、ネイティブ関数の汚染チェックを実行しないために、コンテキスト依存の攻撃者が意図される $SAFE レベル制限をバイパスする可能性があります。

CVE-2011-0188 10.6.7 以前の Apple Mac OS X で使用されている Ruby 1.9.2-p136 およびそれ以前の BigDecimal クラスの中の bigdecimal.c の中の VpMemAlloc 関数が適切にメモリを割り当てないために、64 ビットプロセス内の大きな BigDecimal 値を作成することが関係するベクトルを介して、コンテキスト依存の攻撃者が任意のコードを実行したり、サービス拒否（アプリケーションクラッシュ）を引き起こしたりする可能性があります。これは、「整数切り捨て問題」に関係します。

CVE-2011-2705 では、Upstream SVN r32050 を使用して、PRNG 状態を変更し、フォークされ同じ pid を持つ子プロセスでの乱数シーケンスの繰り返しを回避します。Eric Wong 氏による報告。

CVE-2012-4522 パッチレベル 286 以前の Ruby 1.9.3 および r37163 以前の Ruby 2.0.0 の中の file.c の rb_get_path_check 関数により、ファイルパス内の NULL バイトを介して、コンテキスト依存の攻撃者が予期されない位置に、または予期されない名前でファイルを作成する可能性があります。

CVE-2013-0256 Ruby で使用されている 2.3.0 から 3.12、4.0.0.preview2.1 以前の 4.x の RDoc の darkfish.js がドキュメントを適切に生成しないために、リモートの攻撃者が細工された URL を介してクロスサイトスクリプティング（XSS）攻撃を実行する可能性があります。

CVE-2013-2065 1.9.3 パッチレベル 426 以前の 1.9、および 2.0.0 パッチレベル 195 以前の 2.0 の Ruby の (1) DL および (2) Fiddle で、ネイティブ関数の汚染チェックを実行しないために、コンテキスト依存の攻撃者が意図される $SAFE レベル制限をバイパスする可能性があります。

CVE-2015-1855 OpenSSL 拡張ホスト名照合の実装は RFC 6125 に違反しています

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

- Ruby 2.0.0-p195 に更新してください。

- DL と Fiddle でバイパスするオブジェクト汚染を修正します（CVE-2013-2065）。

- ECC カーブが有効にされている OpenSSL に対してビルドを修正します。

- aarch64 サポートを追加します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

自己報告されたバージョン番号によると、リモートホストの Puppet Enterprise インストールは、3.1.0 より前のバージョンです。その結果、報告されているところによると、複数の脆弱性の影響を受けます：

- Fiddle と DL のモジュール、「$SAFE」レベルの検証、およびオブジェクト処理に関連するエラーが存在するため、攻撃者は、システムコールを改ざんできる場合があります。
 (CVE-2013-2065)

- YAML レポートを処理する際に誘発される、リモートコードの実行の脆弱性が存在します。これにより、リモートの攻撃者は、任意のコードを実行する可能性があります。
 (CVE-2013-4957)

- コンソールアカウントのブルートフォースの脆弱性が存在するため、攻撃者は、把握しているユーザーのパスワードをブルートフォースできる場合があります。(CVE-2013-4965)

- RubyGems アルゴリズムの複雑さに関するサービス拒否の脆弱性が存在するため、攻撃者は、CPU 消費によりサービス拒否を引き起こすことができる場合があります。
 (CVE-2013-4287)

Charlie Somerville が、Ruby によって浮動小数点数変換が不適切に処理されることを、見つけました。攻撃者は、テキストを浮動小数点に変換するとアプリケーションがクラッシュするこの問題を利用して、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。(CVE-2013-4164)

Vit Ondruch 氏は、Ruby が特定の関数の汚染チェックを行わないことを発見しました。攻撃者がこの問題を利用して、特定の意図された制限をバイパスする可能性があります。（CVE-2013-2065）。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
75178	openSUSE セキュリティ更新：ruby19（openSUSE-SU-2013:1611-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
66484	Slackware 13.1 / 13.37 / 14.0 / 現行：ruby（SSA:2013-136-02）	Nessus	Slackware Local Security Checks	2013/5/17	2021/1/14	medium
66681	Fedora 17：ruby-1.9.3.429-30.fc17（2013-8411）	Nessus	Fedora Local Security Checks	2013/5/30	2021/1/11	medium
66632	FreeBSD：ruby -- Ruby の DL および Fiddle のオブジェクト汚染バイパス（79789daa-8af8-4e21-a47f-e8a645752bdb）	Nessus	FreeBSD Local Security Checks	2013/5/28	2021/1/6	medium
70233	Amazon Linux AMI：ruby19（ALAS-2013-229）	Nessus	Amazon Linux Local Security Checks	2013/10/1	2018/4/18	medium
83907	Debian DLA-235-1：ruby1.9.1 のセキュリティ更新	Nessus	Debian Local Security Checks	2015/6/1	2021/1/11	medium
66680	Fedora 18：ruby-1.9.3.429-30.fc18（2013-8375）	Nessus	Fedora Local Security Checks	2013/5/30	2021/1/11	medium
66684	Fedora 19：ruby-2.0.0.195-8.fc19（2013-8738）	Nessus	Fedora Local Security Checks	2013/5/30	2021/1/11	medium
70684	Puppet Enterprise 3.1.0 より前の複数の脆弱性	Nessus	CGI abuses	2013/10/29	2021/1/19	medium
71139	Ubuntu 12.04 LTS / 12.10 / 13.04 / 13.10：ruby1.8、ruby1.9.1 の脆弱性（USN-2035-1）	Nessus	Ubuntu Local Security Checks	2013/11/29	2019/9/19	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium