来自 Red Hat 安全公告 2008:0981：

更新后的 ruby 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

据 Vincent Danen 报告，Red Hat 安全公告 RHSA-2008:0897 未正确解决 WEBrick（Ruby HTTP 服务器工具包）中的拒绝服务缺陷（被称为 CVE-2008-3656）。此缺陷允许远程攻击者向 WEBrick 服务器发送特别构建的 HTTP 请求，从而导致服务器占用过多 CPU 时间。此更新正确地修复了此缺陷。(CVE-2008-4310)

所有 Ruby 用户应升级这些更新后的程序包，其中包含解决此问题的正确修补程序。

来自 Red Hat 安全公告 2008:0897：

更新后的 ruby 程序包修复了多个安全问题，现在可用于 Red Hat Enterprise Linux 4 和 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

Ruby 是一种直译式脚本语言，用于快速且轻松的面向对象编程。

Ruby DNS 解析器库 resolv.rb 在发送 DNS 请求时使用可预测的事务 ID 和固定源端口。远程攻击者可利用此缺陷欺骗对 DNS 查询作出恶意回复。(CVE-2008-3905)

Ruby XML 文档解析模块 (REXML) 容易通过具有大量 XML 实体定义递归的 XML 文档遭受拒绝服务攻击。特别构建的 XML 文件可能导致使用 REXML 模块的 Ruby 应用程序占用过多 CPU 和内存。
(CVE-2008-3790)

在 Ruby DL 模块中发现“taintness”检查不充分缺陷，可导致直接访问 C 语言函数。攻击者可利用此缺陷通过不被信任的已污染输入中的参数调用外部 C 函数，从而绕过预期安全级限制。(CVE-2008-3657)

在 Ruby HTTP 服务器工具包 WEBrick 中发现拒绝服务缺陷。远程攻击者可向 WEBrick 服务器发送特别构建的 HTTP 请求，从而导致服务器占用过多 CPU 时间。(CVE-2008-3656)

在 Ruby 安全级限制中发现许多缺陷。
远程攻击者可创建精心构建的恶意脚本，从而导致绕过某些安全级限制。(CVE-2008-3655)

在 Ruby 正则表达式引擎中发现一个拒绝服务缺陷。如果 Ruby 脚本尝试通过正则表达式处理大量数据，可能导致 Ruby 进入无限循环并崩溃。(CVE-2008-3443)

ruby 用户应升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。

此 ruby 更新可改善允许攻击者使用已吊销证书的 openssl 函数 OCSP_basic_verify() 返回值 (CVE-2009-0642)。增加 DNS 标识符的熵 (CVE-2008-3905) 以防止伪造攻击。解析 XML 数据的代码容易受到拒绝服务缺陷影响 (CVE-2008-3790)。解析 HTTP 请求时 (CVE-2008-3656) 以及通过使用造成高 CPU 负载的 regex 引擎 (CVE-2008-3443)，可能针对函数 WEBrick::HTTP::DefaultFileHandler() 中的算法复杂度发动攻击。已改善 Ruby 的访问限制代码 (CVE-2008-3655) 以及使用 DL.dlopen() 函数的安全级处理 (CVE-2008-3657)，还有大十进制处理 (CVE-2009-1904) 问题。
不可能再发生绕过 HTTP 基本认证 (authenticate_with_http_digest) 情况。

Ruby DNS 解析器库 resolv.rb 在发送 DNS 请求时使用可预测的事务 ID 和固定源端口。远程攻击者可利用此缺陷欺骗对 DNS 查询作出恶意回复。(CVE-2008-3905)

Ruby XML 文档解析模块 (REXML) 容易通过具有大量 XML 实体定义递归的 XML 文档遭受拒绝服务攻击。精心构建的 XML 文件可能导致使用 REXML 模块的 Ruby 应用程序占用过多 CPU 和内存。
(CVE-2008-3790)

在 Ruby DL 模块中发现“taintness”检查不充分缺陷，可导致直接访问 C 语言函数。攻击者可利用此缺陷通过不被信任的已污染输入中的参数调用外部 C 函数，从而绕过预期安全级限制。(CVE-2008-3657)

在 Ruby HTTP 服务器工具包 WEBrick 中发现拒绝服务缺陷。远程攻击者可向 WEBrick 服务器发送特别构建的 HTTP 请求，从而导致服务器占用过多 CPU 时间。(CVE-2008-3656)

在 Ruby 安全级限制中发现许多缺陷。
远程攻击者可创建精心构建的恶意脚本，从而导致绕过某些安全级限制。(CVE-2008-3655)

在 Ruby 正则表达式引擎中发现一个拒绝服务缺陷。如果 Ruby 脚本尝试通过正则表达式处理大量数据，可能导致 Ruby 进入无限循环并崩溃。(CVE-2008-3443)

据 Vincent Danen 报告，Red Hat 安全公告 RHSA-2008:0897 未正确解决 WEBrick（Ruby HTTP 服务器工具包）中的拒绝服务缺陷（被称为 CVE-2008-3656）。此缺陷允许远程攻击者向 WEBrick 服务器发送精心构建的 HTTP 请求，从而导致服务器占用过多 CPU 时间。此更新正确地修复了此缺陷。(CVE-2008-4310)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
67767	Oracle Linux 4 / 5：ruby (ELSA-2008-0981)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
67752	Oracle Linux 4 / 5：ruby (ELSA-2008-0897)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	high
51760	SuSE 10 安全更新：ruby（ZYPP 修补程序编号 6338）	Nessus	SuSE Local Security Checks	2011/1/27	2021/1/14	high
60485	Scientific Linux 安全更新：SL3.x、SL4.x、SL5.x i386/x86_64 中的 ruby	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high
60502	Scientific Linux 安全更新：SL4.x、SL5.x i386/x86_64 中的 ruby	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	high

检测

插件搜索

high

high

high

high

high