Ruby にいくつかの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-0642 OCSP_basic_verify 関数からの戻り値が適切にチェックされないため、失効した証明書が継続して使用されていました。

- CVE-2009-1904 BigDecimal 数の解析における問題により、サービス拒否状態（クラッシュ）が発生する可能性があります。

下記のマトリックスには、修正済みバージョンが示されています：

   ruby1.8 ruby1.9 旧安定版（oldstable）（etch） 1.8.5-4etch5 1.9.0+20060609-1etch5 安定版（stable）（lenny） 1.8.7.72-3lenny1 1.9.0.2-9lenny1 不安定版（unstable）（sid）1.8.7.173-1（近日中）

Ruby POP モジュールで特定の APOP 認証リクエストを処理する方法に、欠陥が検出されました。Ruby APOP モジュールが POP サーバーに対して APOP を使用して認証を試みる際に、特定の応答を送信することによってリモートの攻撃者がユーザーの認証情報の一部を取得する可能性があります。（CVE-2007-1558）

X.509 証明書を検証する際に、Ruby が適切に戻り値をチェックしていなかったことが分かりました。これにより、リモートの攻撃者が無効な X.509 証明書を提示しても、Ruby がそれを有効とみなす可能性がありました。（CVE-2009-0642）

Ruby で BigDecimal オブジェクトを Float 番号に変換する方法に、欠陥が発見されました。攻撃者が BigDecimal オブジェクトコンバーターに特定の値を入力することができる場合、このクラスを利用してアプリケーションをクラッシュする可能性があります。（CVE-2009-1904）

リモートホストが、バージョン 10.6.3 より前の Mac OS X 10.6.x を実行しています。

Mac OS X 10.6.3 は以下の製品のセキュリティ修復を含んでいます：

- AFP Server
 - Apache
 - CoreAudio
 - CoreMedia
 - CoreTypes
 - CUPS
 - DesktopServices
 - Disk Images
 - Directory Services
 - Dovecot
 - Event Monitor
 - FreeRADIUS
 - FTP Server
 - iChat Server
 - ImageIO
 - Image RAW
 - Libsystem
 - Mail
 - MySQL
 - OS Services
 - Password Server
 - PHP
 - Podcast Producer
 - Preferences
 - PS Normalizer
 - QuickTime
 - Ruby
 - Server Admin
 - SMB
 - Tomcat
 - Wiki Server
 - X11

Emmanouel Kellinis 氏は、Ruby が特定の文字列操作を適切に処理しないことを発見しました。攻撃者が、この問題を悪用して、アプリケーションの権限で任意のコードを実行する可能性があります。
（CVE-2009-4124）

Giovanni Pellerano 氏、Alessandro Tanasi 氏、および Francesco Ongaro 氏は、ログファイルに書き込まれたデータを Ruby が適切にサニタイズしないことを発見しました。攻撃者が特別に細工されたデータをログファイルに挿入して、特定のターミナルエミュレーターに影響を及ぼすことで、任意のファイルを上書きさせたり、任意のコマンドを実行したりする可能性もあります。
（CVE-2009-4492）

Ruby が、大きな数を表す文字列引数を適切に処理しないことが判明しました。攻撃者がこれを悪用して、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 9.10 のみです。
（CVE-2009-1904）。

Red Hat Enterprise Linux 4 および 5 向けの、多数のセキュリティ問題を修正する更新済み Ruby パッケージが現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理したり、システム管理タスクを実行する機能があります。

Ruby POP モジュールで特定の APOP 認証リクエストを処理する方法に、欠陥が検出されました。Ruby APOP モジュールが POP サーバーに対して APOP を使用して認証を試みる際に、特定の応答を送信することによってリモートの攻撃者がユーザーの認証情報の一部を取得する可能性があります。（CVE-2007-1558）

X.509 証明書を検証する際に、Ruby が適切に戻り値をチェックしていなかったことが分かりました。これにより、リモートの攻撃者が無効な X.509 証明書を提示しても、Ruby がそれを有効とみなす可能性がありました。（CVE-2009-0642）

Ruby で BigDecimal オブジェクトを Float 番号に変換する方法に、欠陥が発見されました。攻撃者が BigDecimal オブジェクトコンバーターに特定の値を入力することができる場合、このクラスを利用してアプリケーションをクラッシュする可能性があります。（CVE-2009-1904）

Ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。

この ruby の更新は、openssl 関数 OCSP_basic_verify()（CVE-2009-0642）の戻り値チェックを改善し、攻撃者が失効した証明書を使用します。DNS 識別子のエントロピーが増大して（CVE-2008-3905）、なりすまし攻撃を防ぎます。XML データ解析のコードが、サービス拒否のバグに対して脆弱でした（CVE-2008-3790）。関数WEBrick: : HTTP: : DefaultFileHandler()で、HTTPリクエスト（CVE-2008-3656）の解析中、ならびにCPUの高負荷を引き起こすregexエンジン（CVE-2008-3443）の使用中は、アルゴリズムの複雑性に対する攻撃が可能でした。Ruby のアクセス制限コード（CVE-2008-3655）ならびに関数 DL.dlopen()（CVE-2008-3657）を使用する安全レベルの処理、大きな十進数の処理（CVE-2009-1904）が向上しました。
HTTP 基本認証（authenticate_with_http_digest）のバイパスは、もうできません。

Red Hat セキュリティアドバイザリ 2009:1140 から：

Red Hat Enterprise Linux 4 および 5 向けの、多数のセキュリティ問題を修正する更新済み Ruby パッケージが現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理したり、システム管理タスクを実行する機能があります。

Ruby POP モジュールで特定の APOP 認証リクエストを処理する方法に、欠陥が検出されました。Ruby APOP モジュールが POP サーバーに対して APOP を使用して認証を試みる際に、特定の応答を送信することによってリモートの攻撃者がユーザーの認証情報の一部を取得する可能性があります。(CVE-2007-1558)

X.509 証明書を検証する際に、Ruby が適切に戻り値をチェックしていなかったことが分かりました。これにより、リモートの攻撃者が無効な X.509 証明書を提示しても、Ruby がそれを有効とみなす可能性がありました。(CVE-2009-0642)

Ruby で BigDecimal オブジェクトを Float 番号に変換する方法に、欠陥が発見されました。攻撃者が BigDecimal オブジェクトコンバーターに特定の値を入力することができる場合、このクラスを利用してアプリケーションをクラッシュする可能性があります。(CVE-2009-1904)

Ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。

リモートホストは、セキュリティ更新 2010-002 を適用していないバージョンの Mac OS X 10.5 を実行しています。

このセキュリティ更新には以下の製品の修正が含まれます：

- AppKit
 - Application Firewall
 - AFP Server
 - Apache
 - ClamAV
 - CoreTypes
 - CUPS
 - curl
 - Cyrus IMAP
 - Cyrus SASL
 - Disk Images
 - Directory Services
 - Event Monitor
 - FreeRADIUS
 - FTP Server
 - iChat Server
 - Image RAW
 - Libsystem
 - Mail
 - Mailman
 - OS Services
 - Password Server
 - perl
 - PHP
 - PS Normalizer
 - Ruby
 - Server Admin
 - SMB
 - Tomcat
 - unzip
 - vim
 - Wiki Server
 - X11
 - xar

ID	名前	製品	ファミリー	公開日	更新日	深刻度
44725	Debian DSA-1860-1：ruby1.8、ruby1.9 - いくつかの脆弱性	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	medium
60613	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の ruby	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
45372	Mac OS X 10.6.x < 10.6.3 の複数の脆弱性	Nessus	MacOS X Local Security Checks	2010/3/29	2018/7/16	critical
44640	Ubuntu 8.10 / 9.04 / 9.10：ruby1.9 脆弱性（USN-900-1）	Nessus	Ubuntu Local Security Checks	2010/2/17	2019/9/19	critical
43767	CentOS 5：ruby（CESA-2009:1140）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
51760	SuSE 10 セキュリティ更新：ruby（ZYPP パッチ番号 6338）	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/14	high
67889	Oracle Linux 4/5：ruby（ELSA-2009-1140）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
45373	Mac OS X 複数の脆弱性（セキュリティ更新 2010-002）	Nessus	MacOS X Local Security Checks	2010/3/29	2018/7/16	critical

検出

プラグインの検索

medium

medium

critical

critical

medium

high

medium

critical