Debian DLA-1421-1：ruby2.1 安全更新

critical Nessus 插件 ID 111081

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Ruby 语言的解释器中发现多个漏洞。Common Vulnerabilities and Exposures 计划发现以下问题：CVE-2015-9096 在 Net::SMTP 中，通过 RCPT TO 或 MAIL FROM 命令内的 CRLF 序列造成 SMTP 命令注入。CVE-2016-2339 Fiddle::Function.new 中可利用的堆溢出。CVE-2016-7798 OpenSSL 扩展中的 GCM 模式未正确处理初始化向量。CVE-2017-0898 Kernel.sprintf 中的缓冲区不足漏洞。CVE-2017-0899 RubyGems 中的 ANSI 转义序列漏洞。CVE-2017-0900 RubyGems 查询命令中的 DoS 漏洞。CVE-2017-0901 gem 安装程序可让恶意 gem 覆写任意文件。CVE-2017-0902 RubyGems DNS 请求劫持漏洞。CVE-2017-0903 Max Justicz 报告，RubyGems 存在不安全的对象反序列化漏洞。由处理 gem 的应用程序解析时，特制的 YAML 格式 gem 规范可导致远程代码执行。CVE-2017-10784 Yusuke Endoh 发现 WEBrick 基本身份验证中的转义序列注入漏洞。攻击者可利用此缺陷将恶意转义序列注入 WEBrick 日志，并且可能在读取日志时在受害者的终端仿真器上执行控制字符。CVE-2017-14033 asac 报告 OpenSSL 扩展中的缓冲区不足漏洞。远程攻击者可利用此缺陷造成 Ruby 解释器崩溃，从而导致拒绝服务。CVE-2017-14064 JSON 库中存在堆内存泄露。CVE-2017-17405 Net::FTP 中存在命令注入漏洞，可让恶意 FTP 服务器执行任意命令。CVE-2017-17742 Aaron Patterson 报告 Ruby 捆绑的 WEBrick 容易受到 HTTP 响应拆分漏洞的影响。如果脚本接受外部输入并未经修改就将其输出，则攻击者可注入伪造的 HTTP 响应。CVE-2017-17790 lib/resolv.rb 的 lazy_initialze 中的命令注入漏洞可能允许命令注入攻击。但是，此函数不太可能有不受信任的输入。CVE-2018-6914 ooooooo_q 在 tmpdir 库的 Dir.mktmpdir 方法中发现一个目录遍历漏洞。攻击者可通过 prefix 参数中的 ..（点点）创建任意目录或文件。CVE-2018-8777 Eric Wong 报告 Ruby 捆绑的 WEBrick 中存在一个与大型请求有关的内存不足拒绝服务漏洞。CVE-2018-8778 aerodudrizzt 在 Ruby String#unpack 方法中发现一个缓冲区读取不足漏洞。如果使用指定符 @ 传递大数字，该数字会被视为负值，并且发生缓冲区外读取。如果脚本接受外部输入作为 String#unpack 的参数，则攻击者可读取堆上的数据。CVE-2018-8779 ooooooo_q 报告说 Ruby 捆绑的套接字库的 UNIXServer.open 和 UNIXSocket.open 方法未检查 path 参数中的 NUL 字节。缺少检查使这些方法容易受到意外套接字创建和意外套接字访问的影响。CVE-2018-8780 ooooooo_q 在 Dir 的某些方法中发现由于未缺少检查其参数中的 NUL 字节而导致的意外目录遍历。CVE-2018-1000075 ruby gem 程序包 tar 标头中的一个负大小漏洞可导致无限循环。CVE-2018-1000076 RubyGems 程序包未正确验证加密签名。如果 tarball 包含多个 gem 签名，可能会安装一个签名错误的 gem。CVE-2018-1000077 RubyGems 规格首页属性中存在未正确验证输入的漏洞，可让恶意 gem 设置无效的首页 URL。CVE-2018-1000078 首页属性的 gem 服务器显示中存在跨站脚本 (XSS) 漏洞。CVE-2018-1000079 gem 安装过程中存在路径遍历漏洞。对于 Debian 8“Jessie”，这些问题已在 2.1:5-2+deb8u4 版本中修复。我们建议您升级 ruby2.1 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2018/07/msg00012.html

https://packages.debian.org/source/jessie/ruby2.1

插件详情

严重性: Critical

ID: 111081

文件名: debian_DLA-1421.nasl

版本: 1.6

类型: local

代理: unix

系列: Debian Local Security Checks

发布时间: 2018/7/16

最近更新时间: 2021/1/11

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 9.3

时间分数: 7.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:libruby2.1, p-cpe:/a:debian:debian_linux:ruby2.1, p-cpe:/a:debian:debian_linux:ruby2.1-dev, p-cpe:/a:debian:debian_linux:ruby2.1-doc, p-cpe:/a:debian:debian_linux:ruby2.1-tcltk, cpe:/o:debian:debian_linux:8.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

补丁发布日期: 2018/7/14

漏洞发布日期: 2017/1/6

参考资料信息

CVE: CVE-2015-9096, CVE-2016-2339, CVE-2016-7798, CVE-2017-0898, CVE-2017-0899, CVE-2017-0900, CVE-2017-0901, CVE-2017-0902, CVE-2017-0903, CVE-2017-10784, CVE-2017-14033, CVE-2017-14064, CVE-2017-17405, CVE-2017-17742, CVE-2017-17790, CVE-2018-1000075, CVE-2018-1000076, CVE-2018-1000077, CVE-2018-1000078, CVE-2018-1000079, CVE-2018-6914, CVE-2018-8777, CVE-2018-8778, CVE-2018-8779, CVE-2018-8780