ruby19 已更新，修复了多个缺陷和安全问题：更新到 1.9.3 p385 (bnc#802406)

- 对 rdoc 所生成 RDoc 文档的 XSS 利用 (CVE-2013-0256)

- 有关其他变更，请参阅 /usr/share/doc/packages/ruby19/Changelog

更新到 1.9.3 p327 (bnc#789983)

- CVE-2012-5371 以及许多其他补丁

更新到 1.9.3 p286（bnc#783511、bnc#791199）

- 此版本包括多个安全补丁以及许多其他缺陷补丁。有关 Exception#to_s / NameError#to_s 的 $SAFE 转义漏洞（CVE-2012-4464、CVE-2012-4466）

- 通过插入非法空字符造成的无意的文件创建。许多其他缺陷补丁。
 (CVE-2012-4522) 还进行了以下缺陷修复和程序包修复：

- 确保 rdoc 输出就版本间比较而言更为稳定（新的修补程序 ruby-sort-rdoc-output.patch）

- 重新添加隐私标头 *atomic.h

- 删除 CA 证书上的构建依存关系 - 仅造成循环

- rubygem-ruby-debug-base19 需要多一个标头

- 安装 vm_core.h 及其依存关系 ruby-devel-extra

- 将 provides 移动到 ruby 程序包

- 为内部 gem 添加 provides

- 还原旧的 ruby 宏和 gem 封装程序脚本

- 不再需要 gem_install_wrapper

修补程序跨站脚本漏洞 CVE-2013-0256 (rhbz#908358)。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此更新修复了适用于 Red Hat OpenShift Enterprise 1.1.3 的多个 rubygem 程序包中安全问题。Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。发现 RDoc 所创建的文档容易遭受跨站脚本 (XSS) 攻击。如果可通过网络访问这种文档，而且远程攻击者可诱骗用户访问特制的 URL，则会导致在用户会话环境中执行任意 web 脚本。RDoc 用于创建 Ruby 来源文件（例如等级、模块等等）的文档，因此通过网络访问这类文档的情况并不常见。(CVE-2013-0256) 此更新提供数个更新版 rubygem 程序包，其已使用修正过的 RDoc 版本重新生成文档。Red Hat 在此感谢 Eric Hodel of RDoc 上游报告此问题。上游感谢原始报告者 Evgeny Ermakov。建议 Red Hat OpenShift Enterprise 1.1.3 用户升级到这些更新版程序包，以便更正此问题。

Jean-Philippe Aumasson 发现 Ruby 未正确生成可预测的哈希值。攻击者可利用此问题生成哈希冲突和造成拒绝服务。(CVE-2012-5371)

Evgeny Ermakov 发现 rdoc 生成的文档容易受到跨站脚本问题的影响。由于存在跨站脚本漏洞，如果用户受到诱骗查看特别构建的页面，则远程攻击者可利用此问题在同一域中修改内容或窃取机密数据。
(CVE-2013-0256)

Thomas Hollstegge 和 Ben Murphy 发现 Ruby 中的 JSON 实现未正确处理构建的某些文档。
攻击者可利用此问题造成拒绝服务或绕过某些保护机制。(CVE-2013-0269)。

Ruby 开发人员报告：

与 ruby 捆绑的 rdoc 生成的 RDoc 文档容易遭受 XSS 利用。建议所有 ruby 用户将 ruby 更新到更新的版本，其中包含经安全修复的 RDoc。如果要发布由 rdoc 生成的 RDoc 文档，建议您为该文档应用修补程序或通过经安全修复的 RDoc 重新生成它。

CVE-2011-0188 低于 10.6.7 版本的 Apple Mac OS X 及其他平台上使用的 Ruby 1.9.2-p136 及较早版本中 BigDecimal 类的 bigdecimal.c 中的 VpMemAlloc 函数不会正确分配内存，从而允许上下文有关的攻击者通过涉及 64 位进程内大型 BigDecimal 值创建的矢量来执行任意代码或造成拒绝服务（应用程序崩溃），此问题与“整数截断问题”有关。

CVE-2011-2705 使用上游 SVN r32050 修改 PRNG 状态以防止具有相同 pid 的 fork 子进程发生随机数序列重复。由 Eric Wong 报告。

CVE-2012-4522 低于修补程序等级 286 的 Ruby 1.9.3 以及低于 r37163 的 Ruby 2.0.0 的 file.c 中的 rb_get_path_check 函数允许上下文有关的攻击者通过文件路径中的空字节在非预期位置或以非预期名称创建文件。

CVE-2013-0256 Ruby 中使用的 RDoc 2.3.0 到 3.12 以及低于 4.0.0.preview2.1 版本的 4.x 中的 darkfish.js 不会正确生成文档，从而允许远程攻击者通过构建的 URL 进行跨站脚本 (XSS) 攻击。

CVE-2013-2065 低于 1.9.3 修补程序等级 426 的 Ruby 1.9 以及低于 2.0.0 修补程序等级 195 的 2.0 中的 (1) DL 和 (2) Fiddle 不会对本机函数执行感染检查，从而允许上下文有关的攻击者绕过预期的 $SAFE 级别限制。

CVE-2015-1855 OpenSSL 扩展主机名匹配实现违反 RFC 6125

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

rubgem rdoc 已更新，修复了一个安全问题：

CVE-2013-0256：rubygem-rdoc：由 rdoc 生成的 RDoc 文档的 XSS 利用

- 确保了在检查清单之前生成 rd 解析器文件。

更新版 ruby193-ruby、rubygem-json 和 rubygem-rdoc 程序包修复了两个安全问题，现在可用于 Red Hat OpenShift Enterprise 1.1.3。Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。rubygem-json 和 ruby193-rubygem-json 中有个缺陷会允许通过创建不同类型的恶意对象来发动远程攻击。例如，通过使用 JSON 文档来创建任意 Ruby 符号，通过资源消耗来启动拒绝服务攻击，此攻击从不进行垃圾收集。也可以利用它来创建内部对象，从而允许 SQL 注入攻击。(CVE-2013-0269) 发现 rubygem-rdoc 和 ruby193-rubygem-rdoc 所创建的文档容易遭受跨站脚本 (XSS) 攻击。如果可通过网络访问这种文档，而且远程攻击者可诱骗用户访问特制的 URL，则会导致在用户会话环境中执行任意 web 脚本。rubygem-rdoc 和 ruby193-rubygem-rdoc 用于创建 Ruby 来源文件（例如等级、模块等等）的文档，因此通过网络访问这类文档的情况并不常见。(CVE-2013-0256) Red Hat 在此感谢 Ruby on Rails 上游报告 CVE-2013-0269，并感谢 Eric Hodel of RDoc 上游报告 CVE-2013-0256。上游感谢 CVE-2013-0269 的原始报告者 Thomas Hollstegge (Zweitag) 和 Ben Murphy，以及 CVE-2013-0256 的原始报告者 Evgeny Ermakov。建议 Red Hat OpenShift Enterprise 1.1.3 用户升级到这些更新版程序包，以便修正这些问题。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
74909	openSUSE 安全更新：ruby19 (openSUSE-SU-2013:0376-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
66337	Fedora 18：rubygem-rdoc-3.12-6.fc18 (2013-2131)	Nessus	Fedora Local Security Checks	2013/5/8	2021/1/11	medium
119438	RHEL 6 : rubygem packages (RHSA-2013:0728)	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	medium
64799	Ubuntu 12.04 LTS / 12.10：ruby1.9.1 漏洞 (USN-1733-1)	Nessus	Ubuntu Local Security Checks	2013/2/22	2019/9/19	high
66338	Fedora 17：rubygem-rdoc-3.12-5.fc17 (2013-2143)	Nessus	Fedora Local Security Checks	2013/5/8	2021/1/11	medium
64646	FreeBSD：Ruby -- 对 rdoc 生成的 RDoc 文档的 XSS 利用 (d3e96508-056b-4259-88ad-50dc8d1978a6)	Nessus	FreeBSD Local Security Checks	2013/2/17	2021/1/6	medium
83907	Debian DLA-235-1：ruby1.9.1 安全更新	Nessus	Debian Local Security Checks	2015/6/1	2021/1/11	medium
74894	openSUSE 安全更新：rubygem-rdoc (openSUSE-SU-2013:0303-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
119437	RHEL 6：ruby193-ruby、rubygem-json 和 rubygem-rdoc (RHSA-2013:0701)	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	high

检测

插件搜索

medium

medium

medium

high

medium

medium

medium

medium

high