远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - Gem: : 版本：: ERSION_PATTERN（1.8.23.1 之前的 RubyGems 版本、1.8.24 到 1.8.25、2.0.8 之前的 2.0.x 版本以及 2.1.0 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。
    (CVE-2013-4287)

  - Gem: : 版本：: ANCHORED_VERSION_PATTERN（1.8.23.2 之前的 RubyGems 版本、1.8.24 到 1.8.26、2.0.10 之前的 2.0.x 版本以及 2.1.5 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。注意：此问题的原因是对 CVE-2013-4287 的修复不完整。(CVE-2013-4363)

lib/rubygems/version.rb 的 Gem: : Version: : ANCHORED_VERSION_PATTERN（1.8.23.2 之前的 RubyGems 版本、1.8.24 到 1.8.26、2.0.10 之前的 2.0.x 版本以及 2.1.5 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。注意：此问题的原因是对 CVE-2013-4287 的修复不完整。

ruby19 已更新，修复了以下安全问题：

- 修复 CVE-2013-2065：DL 和 Fiddle 中的对象感染绕过 (bnc#843686) 文件 CVE-2013-2065.patch 包含修补程序

- 修复 CVE-2013-4287 CVE-2013-4363：ruby19：算法复杂性漏洞 (bnc#837457) 文件 CVE-2013-4287-4363.patch 包含修补程序

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - Ruby 1.8、1.9.3-p484 之前的 1.9、2.0.0-p353 之前的 2.0、2.1.0 preview2 之前的 2.1 以及 43780 修订版之前的中继版本中存在基于堆的缓冲区溢出，允许上下文有关的攻击者通过转换成浮点值的字符串造成拒绝服务（分段错误）并执行任意代码，这一点已通过使用 (1) to_f 方法或 (2) JSON.parse 证实。(CVE-2013-4164)

  - Gem: : 版本：: ERSION_PATTERN（1.8.23.1 之前的 RubyGems 版本、1.8.24 到 1.8.25、2.0.8 之前的 2.0.x 版本以及 2.1.0 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。
    (CVE-2013-4287)

  - Gem: : 版本：: ANCHORED_VERSION_PATTERN（1.8.23.2 之前的 RubyGems 版本、1.8.24 到 1.8.26、2.0.10 之前的 2.0.x 版本以及 2.1.5 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。注意：此问题的原因是对 CVE-2013-4287 的修复不完整。(CVE-2013-4363)

根据其自我报告的版本号，远程主机上安装的 Puppet Enterprise 3.x 版本低于3.1.1。因此，有报告称它受到多种漏洞的影响：

- 存在与包括的 Ruby 版本以及字符串到浮点转换处理相关的输入验证错误，可允许拒绝服务攻击或任意代码执行。(CVE-2013-4164)

- 存在与包括的 RubyGems 版本以及“gem build”、“Gem::Package”和“Gem::PackageTask”API 调用相关的错误，可允许拒绝服务攻击。(CVE-2013-4363)

- 在适用于 Ruby 的“i18n” gem 中存在错误，可允许跨站脚本攻击。(CVE-2013-4491)

- 存在与处理临时文件相关的错误，可允许本地攻击者通过使用符号链接攻击覆盖文件。(CVE-2013-4969)

- 存在与 Rails 中包括的 Ruby、“Action View”以及某些标头处理相关的错误，可允许拒绝服务攻击。(CVE-2013-6414)

- 存在与 Rails 中包括的 Ruby 以及“number_to_currency”帮助程序中的“unit”参数相关的输入验证错误，可允许跨站脚本攻击。(CVE-2013-6415)

- 存在与 Rails 中包括的 Ruby、JSON 参数解析和 SQL 查询相关的输入验证错误，可允许 SQL 注入攻击。
 (CVE-2013-6417)

Ruby Gem 开发人员报告：

针对 CVE-2013-4363 的修补程序得到不充分的验证，因此用于验证 gem 版本的组合正则表达式跟随 CVE-2013-4363 易受攻击。

RubyGems 使用容易因回溯而发生拒绝服务的正则表达式验证版本。对于特别构建的 RubyGems 版本，攻击者可通过消耗 CPU 造成拒绝服务。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
80760	Oracle Solaris 第三方修补程序更新：rubygems (multiple_cryptographic_issues_vulnerabilities_in1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
72746	Amazon Linux AMI：ruby19 (ALAS-2014-290)	Nessus	Amazon Linux Local Security Checks	2014/3/2	2018/4/18	medium
75178	openSUSE 安全更新：ruby19 (openSUSE-SU-2013:1611-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
80756	Oracle Solaris 第三方修补程序更新：ruby (multiple_cryptographic_issues_vulnerabilities_in)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
80757	Oracle Solaris 第三方修补程序更新：ruby (multiple_vulnerabilities_in_ruby1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
73132	Puppet Enterprise 3.x < 3.1.1 多种漏洞	Nessus	CGI abuses	2014/3/21	2021/1/19	medium
71071	FreeBSD：ruby-gems -- 算法复杂性漏洞 (742eb9e4-e3cb-4f5a-b94e-0e9a39420600)	Nessus	FreeBSD Local Security Checks	2013/11/25	2021/1/6	medium
70567	Amazon Linux AMI：rubygems (ALAS-2013-231)	Nessus	Amazon Linux Local Security Checks	2013/10/24	2018/4/18	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium