ruby19 已更新，修复了以下安全问题：

- 修复 CVE-2013-2065：DL 和 Fiddle 中的对象感染绕过 (bnc#843686) 文件 CVE-2013-2065.patch 包含修补程序

- 修复 CVE-2013-4287 CVE-2013-4363：ruby19：算法复杂性漏洞 (bnc#837457) 文件 CVE-2013-4287-4363.patch 包含修补程序

为 Slackware 13.1、13.37、14.0 以及当前版本提供了用于修复安全问题的新 ruby 程序包。

在 Ruby 的 DL 和 Fiddle 中发现一个漏洞，其中可通过系统调用使用受感染的字符串，无论 Ruby 中的 $SAFE 级别设置如何。已为此漏洞分配 CVE 标识符 CVE-2013-2065。

此 rpm 将修复此问题。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Ruby 开发人员报告：

Ruby 中的 DL 和 Fiddle 中存在一个漏洞，其中可通过系统调用使用受感染的字符串，无论 Ruby 中的 $SAFE 级别设置如何。

通过 DL 或 Fiddle 暴露给 Ruby 的本机函数未检查传入对象上设置的感染值，这可在应提出 SecurityError 异常时导致受感染的对象被接受为输入。

1.9.3 patchlevel 426 之前的 Ruby 1.9 以及 2.0.0 patchlevel 195 之前的 2.0 中的 (1) DL 和 (2) Fiddle 不会对本机函数执行感染检查，这样允许上下文有关的攻击者绕过预设的 $SAFE 级别限制。

CVE-2011-0188 低于 10.6.7 版本的 Apple Mac OS X 及其他平台上使用的 Ruby 1.9.2-p136 及较早版本中 BigDecimal 类的 bigdecimal.c 中的 VpMemAlloc 函数不会正确分配内存，从而允许上下文有关的攻击者通过涉及 64 位进程内大型 BigDecimal 值创建的矢量来执行任意代码或造成拒绝服务（应用程序崩溃），此问题与“整数截断问题”有关。

CVE-2011-2705 使用上游 SVN r32050 修改 PRNG 状态以防止具有相同 pid 的 fork 子进程发生随机数序列重复。由 Eric Wong 报告。

CVE-2012-4522 低于修补程序等级 286 的 Ruby 1.9.3 以及低于 r37163 的 Ruby 2.0.0 的 file.c 中的 rb_get_path_check 函数允许上下文有关的攻击者通过文件路径中的空字节在非预期位置或以非预期名称创建文件。

CVE-2013-0256 Ruby 中使用的 RDoc 2.3.0 到 3.12 以及低于 4.0.0.preview2.1 版本的 4.x 中的 darkfish.js 不会正确生成文档，从而允许远程攻击者通过构建的 URL 进行跨站脚本 (XSS) 攻击。

CVE-2013-2065 低于 1.9.3 修补程序等级 426 的 Ruby 1.9 以及低于 2.0.0 修补程序等级 195 的 2.0 中的 (1) DL 和 (2) Fiddle 不会对本机函数执行感染检查，从而允许上下文有关的攻击者绕过预期的 $SAFE 级别限制。

CVE-2015-1855 OpenSSL 扩展主机名匹配实现违反 RFC 6125

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

根据其自我报告的版本号，远程主机上安装的 Puppet Enterprise 版本低于 3.1.0。因此，有报告称它受到多种漏洞的影响：

- 存在一个与 Fiddle 和 DL 模块以及“$SAFE”级别验证和对象处理相关的错误，可允许攻击者修改系统调用。
 (CVE-2013-2065)

- 存在一个在处理 YAML 报告时触发的远程代码执行漏洞。这可能允许远程攻击者执行任意代码。
 (CVE-2013-4957)

- 存在一个控制台帐户暴力破解漏洞，可允许攻击者暴力破解已知用户的密码。(CVE-2013-4965)

- 存在一个 RubyGems 算法复杂性拒绝服务漏洞，可允许攻击者通过 CPU 消耗来造成拒绝服务。
 (CVE-2013-4287)

- 更新到 Ruby 2.0.0-p195。

- 修复 DL 和 Fiddle 中受感染的绕过 (CVE-2013-2065)。

- 修复针对启用了 ECC 曲线的 OpenSSL 的版本。

- 添加 aarch64 支持。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Charlie Somerville 发现 Ruby 未正确处理浮点数转换。攻击者可能会通过将文本转换为浮点数的应用程序来利用此问题使该应用程序崩溃，从而导致拒绝服务或者可能执行任意代码。(CVE-2013-4164)

Vit Ondruch 发现 Ruby 未对某些函数执行感染检查。攻击者可能会使用此问题来绕过某些预期限制。(CVE-2013-2065)。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
75178	openSUSE 安全更新：ruby19 (openSUSE-SU-2013:1611-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
66484	Slackware 13.1 / 13.37 / 14.0 / 当前：ruby (SSA:2013-136-02)	Nessus	Slackware Local Security Checks	2013/5/17	2021/1/14	medium
66681	Fedora 17：ruby-1.9.3.429-30.fc17 (2013-8411)	Nessus	Fedora Local Security Checks	2013/5/30	2021/1/11	medium
66632	FreeBSD：ruby -- Ruby 中 DL 和 Fiddle 中的对象感染绕过 (79789daa-8af8-4e21-a47f-e8a645752bdb)	Nessus	FreeBSD Local Security Checks	2013/5/28	2021/1/6	medium
70233	Amazon Linux AMI：ruby19 (ALAS-2013-229)	Nessus	Amazon Linux Local Security Checks	2013/10/1	2018/4/18	medium
83907	Debian DLA-235-1：ruby1.9.1 安全更新	Nessus	Debian Local Security Checks	2015/6/1	2021/1/11	medium
70684	Puppet Enterprise < 3.1.0 多种漏洞	Nessus	CGI abuses	2013/10/29	2021/1/19	medium
66680	Fedora 18：ruby-1.9.3.429-30.fc18 (2013-8375)	Nessus	Fedora Local Security Checks	2013/5/30	2021/1/11	medium
66684	Fedora 19：ruby-2.0.0.195-8.fc19 (2013-8738)	Nessus	Fedora Local Security Checks	2013/5/30	2021/1/11	medium
71139	Ubuntu 12.04 LTS / 12.10 / 13.04 / 13.10：ruby1.8、ruby1.9.1 漏洞 (USN-2035-1)	Nessus	Ubuntu Local Security Checks	2013/11/29	2019/9/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium