RHEL 6：ruby (RHSA-2011:1581)
high Nessus 插件 ID 57017
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
更新后的 ruby 程序包修复了两个安全问题和若干缺陷并添加了一项增强，现在可用于 Red Hat Enterprise Linux 6。Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。
Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。
发现 fork 子进程后 Ruby 未重新初始化 PRNG（伪随机数发生器）。这最终可导致 PRNG 两次都返回相同结果。跟踪一个子进程返回的值的攻击者可以利用此缺陷预测 PRNG 将在其他子进程中返回的值（只要父进程持续存在）。(CVE-2011-3009)
在 Ruby SecureRandom 模块中发现一个缺陷。当使用 SecureRandom.random_bytes 类时，fork 子进程后未修改 PRNG 状态。这最终可导致 SecureRandom.random_bytes 多次返回相同字符串。跟踪一个子进程返回的字符串的攻击者可以利用此缺陷预测 SecureRandom.random_bytes 将在其他子进程中返回的字符串（只要父进程持续存在）。(CVE-2011-2705)
此更新还修复以下缺陷：
* ruby 程序包已升级到上游点版本 1.8.7-p352，其提供了对之前版本的多项缺陷补丁。(BZ#706332)
* MD5 消息摘要算法并非 FIPS 批准的算法。
因此，当 Ruby 脚本尝试以 FIPS 模式计算 MD5 校验和时，解释器会意外终止。此缺陷已修复，现在在所述情况中会抛出异常。(BZ#717709)
* 由于 mkconfig.rb 源文件中不当处理的行延续，尝试构建 ruby 程序包导致了意外终止。已应用上游修补程序以解决此问题，现在可以正确构建 Ruby 程序包。(BZ#730287)
* 在 64 位计算机上安装 32 位 ruby-libs 库时，mkmf 库无法加载构建 Ruby 相关程序包必需的各种模块。此缺陷已修复，mkmf 现在能够正确地在所述情况中运行。(BZ#674787)
* 以前，脚本和二进制模块的加载路径在 i386 架构中复制。因此，ActiveSupport 测试失败。通过此更新，加载路径不再存储在 i386 架构上的副本中。(BZ#722887)
此更新还添加了以下增强：
* 通过此更新，SystemTap 探测已添加到 ruby 程序包。(BZ#673162)
建议所有 ruby 用户升级这些更新后的程序包，其中解决了这些问题并添加此项增强。
解决方案
更新受影响的程序包。另见
http://www.nessus.org/u?c53b8acf
https://access.redhat.com/security/updates/classification/#low
https://bugzilla.redhat.com/show_bug.cgi?id=673162
https://bugzilla.redhat.com/show_bug.cgi?id=674787
https://bugzilla.redhat.com/show_bug.cgi?id=706332
https://bugzilla.redhat.com/show_bug.cgi?id=717709
https://bugzilla.redhat.com/show_bug.cgi?id=722415
https://bugzilla.redhat.com/show_bug.cgi?id=722887
插件详情
严重性: High
ID: 57017
文件名: redhat-RHSA-2011-1581.nasl
版本: 1.17
类型: local
代理: unix
发布时间: 2011/12/6
最近更新时间: 2024/4/27
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 3.4
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 分数来源: CVE-2011-3009
CVSS v3
风险因素: High
基本分数: 7.4
时间分数: 6.4
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:ruby, p-cpe:/a:redhat:enterprise_linux:ruby-devel, p-cpe:/a:redhat:enterprise_linux:ruby-docs, p-cpe:/a:redhat:enterprise_linux:ruby-irb, p-cpe:/a:redhat:enterprise_linux:ruby-libs, p-cpe:/a:redhat:enterprise_linux:ruby-rdoc, p-cpe:/a:redhat:enterprise_linux:ruby-ri, p-cpe:/a:redhat:enterprise_linux:ruby-static, p-cpe:/a:redhat:enterprise_linux:ruby-tcltk, cpe:/o:redhat:enterprise_linux:6
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2011/12/6
漏洞发布日期: 2011/8/5
参考资料信息
CVE: CVE-2011-2705, CVE-2011-3009
RHSA: 2011:1581