GCMモードでのIVの再利用：Rubyのopenssl gemは、IVが鍵の前に設定されている場合、GCMモード（aes-*-gcm）で同じ初期化ベクトル（IV）使用します。このため、コンテキスト依存の攻撃者は暗号化保護メカニズムを容易にバイパスできます。（CVE-2016-7798）

GCMモードでのIVの再利用を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このruby2.1の更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2015-9096：RCPT TOまたはMAIL FROMコマンド内のCRLFsequencesを介したSMTPコマンドインジェクションを修正しました（bsc#1043983）。

CVE-2016-7798：GCMモードでのIVの再利用を修正しました（bsc#1055265）。

CVE-2017-0898：Kernel.sprintfでのバッファアンダーランの脆弱性を修正しました（bsc#1058755）。

CVE-2017-0899：悪意のあるgem仕様に伴う問題を修正しました。gem仕様の出力時の不十分なサニテーションによって端末の文字が含まれる可能性がありました（bsc#1056286）。

CVE-2017-0900：悪意のあるgem仕様に伴う問題を修正しました。queryコマンドが、クライアントに対するサービス拒否攻撃につながる可能性がありました（bsc#1056286）。

CVE-2017-0901：クライアントシステム上で任意のファイルを上書きする可能性がある、悪意のあるgem仕様に伴う問題を修正しました（bsc#1056286）。

CVE-2017-0902：クライアントに対するMITM攻撃を可能にする、悪意のあるgem仕様に伴う問題を修正しました（bsc#1056286）。

CVE-2017-0903：安全でないオブジェクト逆シリアル化の脆弱性を修正しました（bsc#1062452）。

CVE-2017-9228：正規表現のコンパイル中のbitset_set_range（）でのヒープ領域外書き込みを修正しました（bsc#1069607）。

CVE-2017-9229：oniguruma内のleft_adjust_char_head（）での無効なポインターデリファレンスを修正しました（bsc#1069632）。

CVE-2017-10784：WEBrickの基本認証でのエスケープシーケンスインジェクションの脆弱性を修正しました（bsc#1058754）。

CVE-2017-14033：OpenSSL ASN1デコードでのバッファアンダーランの脆弱性を修正しました（bsc#1058757）。

CVE-2017-14064：JSON.generateの呼び出し中の任意メモリ漏洩を修正しました（bsc#1056782）。

CVE-2017-17405：Net：：FTPでのコマンドインジェクションの脆弱性を修正しました（bsc#1073002）。

CVE-2017-17742：WEBrick内のHTTP応答分割を修正しました（bsc#1087434）。

CVE-2017-17790：lib/resolv.rb：lazy_initialize（）内のコマンドインジェクションを修正しました（bsc#1078782）。

CVE-2018-6914：tempfileとtmpdir内のディレクトリトラバーサルによる意図しないファイルとディレクトリの作成を修正しました（bsc#1087441）。

CVE-2018-8777：WEBrickでの大きなリクエストによって引き起こされるDoSの可能性を修正しました（bsc#1087436）。

CVE-2018-8778：String#unpackでのバッファアンダーリードを修正しました（bsc#1087433）。

CVE-2018-8779：UNIXServerとUNIXSocketでの侵害されたNULバイトによる意図しないソケットの作成を修正しました（bsc#1087440）。

CVE-2018-8780：Dirでの侵害されたNULバイトによる意図しないディレクトリトラバーサルを修正しました（bsc#1087437）。

CVE-2018-16395：OpenSSL：：X509：：Nameの等価チェックに伴う問題を修正しました（bsc#1112530）。

CVE-2018-16396：汚染された文字列の処理に伴う問題を修正しました。この問題では、一部のディレクティブを含むArray#packとString#unpackでフラグが伝播されませんでした（bsc#1112532）。

CVE-2018-1000073：パストラバーサルの問題を修正しました（bsc#1082007）。

CVE-2018-1000074：特別に細工されたYAMLを使用した任意コード実行を可能にする、gem所有者の安全でないオブジェクト逆シリアル化の脆弱性を修正しました（bsc#1082008）。

CVE-2018-1000075：サービス拒否を引き起こす、tarヘッダー内の負のサイズによる無限ループの脆弱性を修正しました（bsc#1082014）。

CVE-2018-1000076：tarballs内の不適切な署名の検証を修正しました（bsc#1082009）。

CVE-2018-1000077：ruby gemsのホームページ属性における不適切なURL検証を修正しました（bsc#1082010）。

CVE-2018-1000078：gemサーバー経由で表示された場合のホームページ属性のXSSの脆弱性を修正しました（bsc#1082011）。

CVE-2018-1000079：ファイルシステムの任意の場所に書き込む可能性があるgemのインストール中のパストラバーサルの問題を修正しました（bsc#1082058）。

CVE-2019-8320：tarファイルの展開時のディレクトリトラバーサルの問題を修正しました（bsc#1130627）。

CVE-2019-8321：詳細におけるエスケープシーケンスインジェクションの脆弱性を修正しました（bsc#1130623）。

CVE-2019-8322：gem所有者におけるエスケープシーケンスインジェクションの脆弱性を修正しました（bsc#1130622）。

CVE-2019-8323：APIレスポンス処理におけるエスケープシーケンスインジェクションの脆弱性を修正しました（bsc#1130620）。

CVE-2019-8324：任意コード実行につながる可能性のある、悪意のあるgemsに伴う問題を修正しました（bsc#1130617）。

CVE-2019-8325：エラーにおけるエスケープシーケンスインジェクションの脆弱性を修正しました（bsc#1130611）。

CVE-2019-15845：File.fnmatchとFile.fnmatchのNULインジェクションの脆弱性を修正しました（bsc#1152994）。

CVE-2019-16201：WEBrickのダイジェストアクセス認証内の正規表現サービス拒否の脆弱性を修正しました（bsc#1152995）。

CVE-2019-16254：WEBrick内のHTTP応答分割の座胃弱性を修正しました（bsc#1152992）。

CVE-2019-16255：Shell#[]とShell#testのコードインジェクションの脆弱性を修正しました（bsc#1152990）。

CVE-2020-10663：JSONでの安全ではないオブジェクト作成の脆弱性を修正しました（bsc#1171517）。

修正された非セキュリティ問題：

librubyに競合を追加して、librubyの更新時にrubyとruby-stdlibも更新されるようにします（bsc#1048072）。

また、更新されたrubyインタープリターを処理するために、SLES 12 SP2 LTSS上のyast2-ruby-bindingsが更新しました。（bsc#1172275）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Ruby言語のインタープリターに、複数の脆弱性が発見されました。

  - CVE-2015-9096Net::SMTP : SMTPコマンドのインジェクション。

  - CVE-2016-7798OpenSSL拡張のGCMモードにおける初期化ベクトルの不適切な処理。

  - CVE-2017-0900RubyGemsクライアントにおけるサービス拒否。

  - CVE-2017-0901RubyGemsクライアントにおけるファイルの上書きの可能性。

  - CVE-2017-0902RubyGemsクライアントにおけるDNSハイジャック。

  - CVE-2017-14064JSONライブラリにおけるヒープメモリの漏洩。

Ruby言語のインタープリターに、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

CVE-2015-9096

RCPT TOまたはMAIL FROMコマンドのCRLFシーケンスを介したNet: : SMTPにおけるSMTPコマンドインジェクション。

CVE-2016-2339

Fiddle: : Function.newの悪用可能なヒープオーバーフロー。

CVE-2016-7798

OpenSSL拡張のGCMモードにおける初期化ベクトルの不適切な処理。

CVE-2017-0898

Kernel.sprintfにおけるバッファアンダーランの脆弱性。

CVE-2017-0899

RubyGemsにおけるANSIエスケープシーケンスの脆弱性。

CVE-2017-0900

RubyGemsクエリコマンドにおけるDOSの脆弱性。

CVE-2017-0901

gemインストーラーにより、悪意のあるgemが任意のファイルを上書きできます。

CVE-2017-0902

RubyGems DNSリクエストハイジャックの脆弱性。

CVE-2017-0903

Max Justicz氏は、RubyGemsに安全でないオブジェクトの逆シリアル化の脆弱性があることを報告しました。gemを処理するアプリケーションによって解析されるときに、特別に細工されたYAML形式のgem仕様によってリモートでコードが実行される可能性があります。

CVE-2017-10784

Yusuke Endoh氏は、WEBrickの基本認証にエスケープシーケンスインジェクションの脆弱性があることを発見しました。攻撃者がこの欠陥を利用して、悪意のあるエスケープシーケンスをWEBrickログに挿入し、ログを読み取るときに被害者のターミナルエミュレーターで制御文字を実行する可能性があります。

CVE-2017-14033

asacは、OpenSSL拡張におけるバッファアンダーランの脆弱性を報告しました。リモートの攻撃者がこの欠陥を利用して、rubyインタープリターをクラッシュさせ、サービス拒否を引き起こす可能性があります。

CVE-2017-14064

JSONライブラリでのヒープメモリの漏洩。

CVE-2017-17405

Net: : FTPにおけるコマンドインジェクションの脆弱性により、悪意のあるFTPサーバーが任意のコマンドを実行する可能性があります。

CVE-2017-17742

Aaron Patterson氏は、RubyにバンドルされたWEBrickがHTTP応答分割の脆弱性に脆弱であることを報告しました。スクリプトが外部入力を受け入れ、変更せずにそれを出力した場合、攻撃者が偽のHTTP応答を注入する可能性がありました。

CVE-2017-17790

lib/resolv.rbのlazy_initialzeのコマンドインジェクションの脆弱性により、コマンドインジェクション攻撃が可能になる可能性があります。ただし、この関数への信頼できない入力は、起こりそうにありません。

CVE-2018-6914

ooooooo_qは、tmpdirライブラリのDir.mktmpdirメソッドにディレクトリトラバーサルの脆弱性を発見しました。これにより、攻撃者がプレフィックス引数の..（ドットドット）を介して、任意のディレクトリまたはファイルを作成することが可能でした。

CVE-2018-8777

Eric Wong氏は、RubyにバンドルされたWEBrickの大きなリクエストに関連するメモリ不足のDoS脆弱性を報告しました。

CVE-2018-8778

aerodudrizzt氏は、Ruby String#unpackメソッドにバッファアンダーリードの脆弱性を発見しました。大きな数字に指定子@を付けて渡した場合、数値は負の値として扱われ、バッファ外の読み取りが発生します。スクリプトが外部入力をString#unpackの引数として受け入れる場合、攻撃者がヒープ上のデータを読み取る可能性があります。

CVE-2018-8779

ooooooo_qは、RubyにバンドルされているソケットライブラリのUNIXServer.openおよびUNIXSocket.openメソッドが、パス引数のNULバイトをチェックしないことを報告しました。チェックの欠如により、メソッドは意図しないソケット作成および意図しないソケットアクセスに対して脆弱になりました。

CVE-2018-8780

ooooooo_qは、Dirの一部のメソッドで、パラメーターでNULバイトをチェックしないことによる、意図しないディレクトリトラバーサルを発見しました。

CVE-2018-1000075

ruby gemパッケージのtarヘッダーでの負のサイズの脆弱性により、無限ループが発生する可能性があります。

CVE-2018-1000076

RubyGemsパッケージが、暗号署名を不適切に検証します。tarballに複数のgem署名がある場合、署名が間違っているgemがインストールされる可能性があります。

CVE-2018-1000077

RubyGems仕様ホームページ属性の不適切な入力検証の脆弱性により、悪意のあるgemが無効なホームページURLを設定する可能性があります。

CVE-2018-1000078

ホームページ属性のgemサーバー表示のクロスサイトスクリプティング（XSS）の脆弱性。

CVE-2018-1000079

gemのインストール中のパストラバーサルの脆弱性。

Debian 8「Jessie」では、これらの問題はバージョン2.1.5-2+deb8u4で修正されました。

ruby2.1パッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Ruby DL::dlopen がオープニングライブラリを不適切に処理することがわかりました。攻撃者がこの問題を利用して、汚染された名前のライブラリを開く可能性があります。この問題により影響を受けるのは、Ubuntu 14.04 LTSのみです。
(CVE-2009-5147)

Tony Arcieri、Jeffrey Walton、Steffan Ullrichの各氏は、Ruby OpenSSL拡張機能がホスト名のワイルドカードマッチングを不適切に処理することを発見しました。
この問題の影響を受けるのはUbuntu 14.04 LTSのみです。(CVE-2015-1855) 

Christian Hofstaedtler 氏は、Ruby Fiddle::Handle が特定の細工された文字列を不適切に処理することを発見しました。攻撃者がこの問題を悪用して、サービス拒否を引き起こしたり、任意のコードを実行したりする可能性があります。この問題の影響を受けるのはUbuntu 14.04 LTSのみです。(CVE-2015-7551) 

Ruby Net::SMTP が CRLF シーケンスを不適切に処理することがわかりました。リモートの攻撃者がこの問題を利用して、SMTPコマンドを挿入する可能性があります。(CVE-2015-9096)

Marcin Noga氏は、RubyがTclTkIpクラスのメソッドで特定の引数を不適切に処理することを発見しました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTSのみです。
(CVE-2016-2337)

Ruby Fiddle::Function.new が特定の引数を不適切に処理することがわかりました。攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTSのみです。
(CVE-2016-2339)

RubyがGCMモードで初期化ベクトル (IV) を不適切に処理することがわかりました。攻撃者がこの問題を利用して、暗号化をバイパスする可能性があります。(CVE-2016-7798)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
102868	Amazon Linux AMI：ruby23（ALAS-2017-880）	Nessus	Amazon Linux Local Security Checks	2017/9/1	2018/4/18	high
102212	Fedora 25：ruby（2017-7faa3d2e78）	Nessus	Fedora Local Security Checks	2017/8/7	2021/1/6	high
137599	SUSE SLES12セキュリティ更新プログラム：ruby2.1（SUSE-SU-2020:1570-1）	Nessus	SuSE Local Security Checks	2020/6/18	2022/5/13	critical
102964	DebianDSA-3966-1：ruby2.3 - セキュリティ更新	Nessus	Debian Local Security Checks	2017/9/6	2021/1/4	critical
111081	Debian DLA-1421-1: ruby2.1セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2018/7/16	2021/1/11	critical
102405	Fedora 24：ruby（2017-f16ba664e7）	Nessus	Fedora Local Security Checks	2017/8/11	2021/1/6	high
101974	Ubuntu 14.04 LTS / 16.04 LTS : Ruby の脆弱性 (USN-3365-1)	Nessus	Ubuntu Local Security Checks	2017/7/26	2023/10/20	critical

検出

プラグインの検索

high

high

critical

critical

critical

high

critical