Oracle Linux 8:ruby: 2.6 (ELSA-2021-2588)

high Nessus 插件 ID 151449

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-2588 公告中提及的多个漏洞的影响。

- 在 Ruby 2.4 至 2.4.9 版本、2.5 至 2.5.7 版本和 2.6 至 2.6.5 版本所使用的适用于 Ruby 的 JSON gem 2.2.0 及之前的版本中,存在不安全对象创建漏洞。这与 CVE-2013-0269 非常相似,但是不依赖于 Ruby 内不良的垃圾回收行为。具体而言,使用 JSON 解析方法会导致在解释器内创建恶意对象,并产生与应用程序相关的负面影响。(CVE-2020-10663)

- Ruby 2.4.7 及之前的版本、2.5.x 至 2.5.6 版本和 2.6.x 至2.6.4 版本错误地处理了 File.fnmatch 函数内的路径检查。(CVE-2019-15845)

- WEBrick: : HTTPAuth: : DigestAuth(Ruby 2.4.7 及之前的版本、2.5.x 至 2.5.6 版本和 2.6.x 至 2.6.4 版本)中存在因循环/回溯导致的正则表达式拒绝服务。受害者必须将使用 DigestAuth 的 WEBrick 服务器暴露给 Internet 或不受信任的网络。(CVE-2019-16201)

- Ruby 2.4.7 及之前的版本、2.5.x 至 2.5.6 和 2.6.x 至 2.6.4 版本允许 HTTP 响应拆分。如果使用 WEBrick 的程序将不受信任的输入插入响应标头,则攻击者可利用它插入换行符以拆分标头,以及注入恶意内容欺骗客户端。注意:此问题之所以存在,是因为对 CVE-2017-17742 的修复不完整,该修复解决了 CRLF 向量,但未解决隔离的 CR 或隔离的 LF。(CVE-2019-16254)

- 如果 lib/shell.rb 中 Shell#[] 或 Shell#test 的第一个参数(也称为命令参数)是不受信任的数据,则 Ruby 2.4.7 及之前的版本、2.5.x 至 2.5.6 版本和 2.6.x 至 2.6.4 版本允许代码注入。攻击者可利用此问题调用任意 Ruby 方法。(CVE-2019-16255)

- 在 Ruby 2.5.8 及之前版本、2.6.6 及之前的 2.6.x 以及 2.7.1 及之前的 2.7.x 中发现一个问题。WEBrick 是 Ruby 捆绑的简单 HTTP 服务器,未严格检查传输编码标头值。攻击者可能利用此问题绕过反向代理(同样未严格检查标头),进而可能导致 HTTP 请求走私攻击。(CVE-2020-25613)

- 在 2.5.x 至 2.5.7 版本、2.6.x 至 2.6.5 版本以及 2.7.0 版本的 Ruby 中发现一个问题。如果受害者调用 BasicSocket#read_nonblock(requested_size, buffer, exception: false),该方法会调整缓冲区大小以适合请求的大小,但不会复制任何数据。因此,缓冲区字符串会提供先前的堆值。这可能会暴露来自解释器的敏感数据。(CVE-2020-10933)

- Ruby 2.6.7 之前的 3.2.5、2.7.3 之前的 2.7.x 和 3.0.1 之前的 3.x 之前的 REXML gem 未能妥善解决 XML 循环问题。解析和序列化之后可能产生一个错误的文档。(CVE-2021-28965)

- 如果用户主目录下的位置不可用,则 2.1.0 之前的 Bundler 会使用 /tmp/ 中的可预测路径(使用不安全的权限创建)作为 gem 的存储位置。如果在用户没有可写主目录的情况下使用 Bundler,攻击者可将恶意代码放置在此目录中,以便稍后加载并执行。(CVE-2019-3881)

请注意,Nessus 尚未测试此问题,而是只依赖于应用程序自我报告的版本号。

解决方案

更新受影响的程序包。

另见

https://linux.oracle.com/errata/ELSA-2021-2588.html

插件详情

严重性: High

ID: 151449

文件名: oraclelinux_ELSA-2021-2588.nasl

版本: 1.2

类型: local

代理: unix

发布时间: 2021/7/7

最近更新时间: 2021/7/7

支持的传感器: Frictionless Assessment Agent, Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: AV:N/AC:M/Au:N/C:P/I:P/A:P

时间矢量: E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2019-16255

CVSS v3

风险因素: High

基本分数: 8.1

时间分数: 7.1

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:ruby, p-cpe:/a:oracle:linux:ruby-devel, p-cpe:/a:oracle:linux:ruby-doc, p-cpe:/a:oracle:linux:ruby-libs, p-cpe:/a:oracle:linux:rubygem-abrt, p-cpe:/a:oracle:linux:rubygem-abrt-doc, p-cpe:/a:oracle:linux:rubygem-bigdecimal, p-cpe:/a:oracle:linux:rubygem-bson, p-cpe:/a:oracle:linux:rubygem-bson-doc, p-cpe:/a:oracle:linux:rubygem-bundler, p-cpe:/a:oracle:linux:rubygem-did_you_mean, p-cpe:/a:oracle:linux:rubygem-io-console, p-cpe:/a:oracle:linux:rubygem-irb, p-cpe:/a:oracle:linux:rubygem-json, p-cpe:/a:oracle:linux:rubygem-minitest, p-cpe:/a:oracle:linux:rubygem-mongo, p-cpe:/a:oracle:linux:rubygem-mongo-doc, p-cpe:/a:oracle:linux:rubygem-mysql2, p-cpe:/a:oracle:linux:rubygem-mysql2-doc, p-cpe:/a:oracle:linux:rubygem-net-telnet, p-cpe:/a:oracle:linux:rubygem-openssl, p-cpe:/a:oracle:linux:rubygem-pg, p-cpe:/a:oracle:linux:rubygem-pg-doc, p-cpe:/a:oracle:linux:rubygem-power_assert, p-cpe:/a:oracle:linux:rubygem-psych, p-cpe:/a:oracle:linux:rubygem-rake, p-cpe:/a:oracle:linux:rubygem-rdoc, p-cpe:/a:oracle:linux:rubygem-test-unit, p-cpe:/a:oracle:linux:rubygem-xmlrpc, p-cpe:/a:oracle:linux:rubygems, p-cpe:/a:oracle:linux:rubygems-devel

必需的 KB 项: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled

易利用性: No known exploits are available

补丁发布日期: 2021/7/7

漏洞发布日期: 2019/11/26

参考资料信息

CVE: CVE-2019-3881, CVE-2019-15845, CVE-2019-16201, CVE-2019-16254, CVE-2019-16255, CVE-2020-10663, CVE-2020-10933, CVE-2020-25613, CVE-2021-28965