Debian DLA-3077-1：ruby-tzinfo - LTS 安全更新

high Nessus 插件 ID 164282

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

远程 Debian 10 主机上安装的程序包受到 dla-3077 公告中提及的一个漏洞影响。

- TZInfo 是一个 Ruby 库，可提供对时区数据的访问权限，并允许使用时区规则转换时间。0.36.1 之前的版本以及 1.2.10 之前的版本与 Ruby 数据源 tzinfo-data 一起使用时，容易受到相对路径遍历的影响。有 Ruby 数据源时，时区在 Ruby 文件中定义。每个时区有一个文件。时区文件按需加载“require”。在受影响的版本中，`TZInfo：: Timezone.get` 未能正确验证时区标识符，允许标识符中存在新行字符。对于 Ruby 版本 1.9.3 及更高版本，`TZInfo：: Timezone.get 可通过“require”加载非预期文件，并在 Ruby 进程内执行。0.3.61 和 1.2.10 版包含可正确验证时区标识符的补丁。版本 2.0.0 和后续版本均不容易受到影响。如果文件名遵循有效时区标识符的规则，并且任意文件在加载路径的某个目录中具有“tzinfo/definition”前缀，则版本 0.3.61 仍可从 Ruby 加载路径加载这些文件。应用程序应确保未将不受信任的文件放置在加载路径上的目录中。作为变通方案，时区标识符可在传递到 `TZInfo: : Timezone.get`前，通过确保其匹配正则表达式 `\A-Za-z0-9+\-_]+(?: \/[A-Za-z0-9+\-_]+)*\z` 来验证。 (CVE-2022-31163)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。