現在 Fedora 18 で出荷されている ruby に、注意深く細工された文字列のシーケンスが、シーケンスを解析するサービスで DoS 攻撃（サービス拒否攻撃）を引き起こし、文字列をキーとして使用することで Hash オブジェクトを作成するというセキュリティの欠陥が見つかりました。この問題は、現在 CVE-2012-5371 として登録されています。

この新しいパッケージで、この問題を修正できるはずです。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ruby 公式サイトによる報告：

注意深く細工された文字列のシーケンスが、シーケンスを解析するサービスで DoS 攻撃（サービス拒否攻撃）を引き起こし、文字列をキーとして使用することで Hash オブジェクトを作成する可能性があります。例えば、この脆弱性は信頼できないエンティティから送信される JSON データを解析する Web アプリケーションに影響を与えます。

この脆弱性は ruby 1.8.7 の CVS-2011-4815 に類似しています。ruby 1.9 のバージョンは、修正されている MurmurHash 関数を使用していましたが、ハッシュ値を互いに衝突させる文字列のシーケンスを作成する方法があることが報告されています。この修正は、文字列オブジェクトのハッシュ関数を MurmurHash から　SipHash 2-4 に変更します。

Ruby 言語インタープリターのバージョン 1.9.1 に 2 つの脆弱性が特定されました。

CVE-2012-5371

Jean-Philippe Aumasson 氏は、予想どおりにハッシュ衝突を発生させる機能を Ruby が適切に制限せずにハッシュ値を計算するため、コンテキスト依存の攻撃者がサービス拒否（CPU 消費）を引き起こす可能性があることを特定しました。これは、CVE-2011-4815 とは異なる脆弱性です。

CVE-2013-0269

Thomas Hollstegge 氏および Ben Murphy 氏は、Ruby の JSON gem により、リモートの攻撃者が細工された JSON ドキュメントを通して、サービス拒否（リソースの消費）を引き起こしたり、大量の割り当て保護機構をバイパスしたりして、任意の Ruby 記号または特定の内部オブジェクトの作成を発生できることを発見しました。

squeeze ディストリビューションでは、これらの脆弱性は ruby1.9.1 のバージョン 1.9.2.0-2+deb6u5 で修正されています。ruby1.9.1 パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

セキュリティ問題を修正する新しいrubyパッケージが、Slackware 13.1、13.37、14.0、および
最新版で利用可能です。

Jean-Philippe Aumasson 氏は、予想できるハッシュ値を Ruby が間違って生成していることを発見しました。攻撃者がこの問題を利用して、ハッシュ競合を発生させたり、サービス拒否を引き起こしたり可能性があります。(CVE-2012-5371)

Evgeny Ermakov 氏は、rdoc により生成される文書が、クロスサイトスクリプティングの問題に脆弱であることを発見しました。クロスサイトスクリプティングの脆弱性で、ユーザーが騙されて、特別に細工されたページを表示すると、リモートの攻撃者がこれを悪用してコンテンツを改竄したり、同一ドメイン内で機密データを盗み出したりするおそれがあります。
(CVE-2013-0256)

Thomas Hollstegge 氏および Ben Murphy 氏は、Ruby の JSON 実装が、特定の細工されたドキュメントを間違って処理していることを発見しました。
攻撃者がこの問題を利用して、サービス拒否を引き起こしたり、特定の保護メカニズムをバイパスしたりする可能性があります。（CVE-2013-0269）。

Red Hat OpenShift Enterprise 1.1.1が利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。OpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、Red Hatのクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。この更新では、更新済みパッケージのインストールとOpenShiftサービスの再起動のみが必要です。ただし、OpenShift Enterprise 1.1.1の更新の適用中にシステムをRed Hat Enterprise Linux 6.4に更新する場合は、システムを再起動することを推奨します。このリリースの詳細については、間もなくhttps://access.redhat.com/knowledge/docs/から入手できる『OpenShift Enterprise 1.1.1テクニカルノート』を参照してください。この更新では、次のセキュリティ問題も修正されています：rubygem-actionpackで複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-actionpackを使用するアプリケーションのユーザーに対してXSS攻撃を仕掛ける可能性があります。（CVE-2012-3463、CVE-2012-3464、CVE-2012-3465）一部のメソッドでは、Rubyの下層のルーチンに渡す前に、ファイル名をサニタイズしていないことがわかりました。Rubyアプリケーションが信頼できない入力に基づく名前でファイルを作成すると、予期していた名前とは違う名前でファイルが作成される可能性があります。（CVE-2012-4522）Rubyの連想配列（ハッシュ値）の実装でサービス拒否の欠陥が見つかりました。配列にデータを挿入するときにキーとして使用される多数の入力（Webアプリケーションに送信されるHTTP POSTリクエストパラメーターなど）をRubyアプリケーションに供給できる攻撃者が、複数のハッシュ関数衝突を発生させ、配列の操作に過度に長いCPU時間を消費させる可能性があります。この問題を緩和するために、衝突に対してより強い新しいアルゴリズムが使用されており、攻撃者が意図的に衝突を引き起こす可能性が低減しています。（CVE-2012-5371）rubygem-activerecordに複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-activerecordを使用するアプリケーションに対してSQLインジェクション攻撃を仕掛ける可能性があります。（CVE-2012-2661、CVE-2012-2695、CVE-2013-0155）rubygem-actionpackに複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-actionpackとrubygem-activerecordを使用するアプリケーションに対してSQLインジェクション攻撃を仕掛ける可能性があります。（CVE-2012-2660、CVE-2012-2694）rubygem-actionpack のHTTPダイジェスト認証の実装に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、rubygem-actionpackとダイジェスト認証を使用するアプリケーションにサービス拒否を引き起こす可能性があります。（CVE-2012-3424）Ruby安全レベル4の文字列処理に欠陥が見つかりました。リモートの攻撃者が、例外#to_sを使用して汚染されていない文字列を破壊的に変更して汚染させ、文字列を任意に変更する可能性があります。（CVE-2012-4466）例外メッセージをRuby例外クラスの文字列に変換するためのメソッドで、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、安全レベル4の制限をバイパスする可能性があります。これにより、信頼できない（汚染した）コードにより、任意の信頼されている（汚染していない）文字列が変更される可能性があります。欠陥がなければ、このような動作は、安全レベル4の制限により防止されます。（CVE-2012-4464）rubygem-ruby_parserのruby_parserが安全でない方法で一時ファイルを作成していたことが見つかりました。ローカルの攻撃者がこの欠陥を悪用して、シンボリックリンク攻撃を仕掛け、ruby_parser を使用するアプリケーションがアクセス可能な任意のファイルを上書きする可能性があります。（CVE-2013-0162）CVE-2013-0162の問題は、Red Hat地域ITチームのMichael Scherer氏により発見されました。ユーザーは、Red Hat OpenShift Enterprise 1.1.1にアップグレードすることが推奨されます。

ruby19 が更新され、さまざまなバグやセキュリティ問題が修正されました：1.9.3 p385 に更新してください（bnc#802406）

- rdoc により生成される RDoc 文書の XSS の悪用（CVE-2013-0256）

- 他の変更については、/usr/share/doc/packages/ruby19/Changelog を参照してください。

1.9.3 p327 への更新（bnc#789983）

- CVE-2012-5371 および多数のその他の修正

1.9.3 p286 への更新（bnc#783511、bnc#791199）

- このリリースには、いくつかのセキュリティ修正、および多数の他のバグ修正が含まれています。Exception#to_s / NameError#to_s に関する $SAFE エスケープの脆弱性（CVE-2012-4464、CVE-2012-4466）

- 無効な NUL 文字を挿入することによる意図していないファイル作成、その他の多数のバグ修正。
 （CVE-2012-4522）また、以下のバグ修正やパッケージ修正も行われています：

- rdoc の出力が、build-compare に対してより安定していることを確認します（新しいパッチ ruby-sort-rdoc-output.patch）

- プライベートヘッダー *atomic.h の読み込み

- CA 証明書でのビルド依存関係を削除 - サイクルを引き起こすのみ

- rubygem-ruby-debug-base19 にもう 1 つのヘッダーが必要

- vm_core.h およびその依存関係を ruby-devel-extra としてインストールします

- 代わりに、プロバイダーを ruby パッケージに移動します

- 内部 gem のプロバイダーを追加します

- 古い ruby マクロおよび gem ラッパースクリプトを復元します

- gem_install_wrapper は、もはや必要ではありません。

リモートホストは、GLSA-201412-27 で説明されている脆弱性の影響を受けます（Ruby：サービス拒否）

Ruby に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、プロセスの権限による任意のコードの実行、サービス拒否状態、またはセキュリティ制限のバイパスを引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
62955	Fedora 17：ruby-1.9.3.327-19.fc17（2012-18017）	Nessus	Fedora Local Security Checks	2012/11/19	2021/1/11	medium
62886	FreeBSD：ruby -- ruby 1.9 の Hash-flooding DoS 脆弱性（5e647ca3-2aea-11e2-b745-001fd0af1a4c）	Nessus	FreeBSD Local Security Checks	2012/11/12	2021/1/6	medium
84494	Debian DLA-263-1：ruby1.9.1 のセキュリティ更新	Nessus	Debian Local Security Checks	2015/7/2	2021/1/11	high
63170	Slackware 13.1/13.37/14.0/最新版：ruby（SSA：2012-341-04）	Nessus	Slackware Local Security Checks	2012/12/7	2021/1/14	medium
64799	Ubuntu 12.04 LTS / 12.10：ruby1.9.1 脆弱性（USN-1733-1）	Nessus	Ubuntu Local Security Checks	2013/2/22	2019/9/19	high
119432	RHEL 6：openshift（RHSA-2013:0582）	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	high
63030	Fedora 18：ruby-1.9.3.327-22.fc18（2012-17949）	Nessus	Fedora Local Security Checks	2012/11/26	2021/1/11	medium
74909	openSUSE セキュリティ更新：ruby19（openSUSE-SU-2013:0376-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
79980	GLSA-201412-27：Ruby：サービス拒否	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	high

検出

プラグインの検索

medium

medium

high

medium

high

high

medium

medium

high