来自 Red Hat 安全公告 2013:0612：

更新后的 ruby 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

已发现 Ruby 的 REXML 库未正确限制 XML 实体扩展。攻击者可利用此缺陷，通过诱骗使用 REXML 的 Ruby 应用程序从特别构建的 XML 内容读取文本节点，导致 REXML 消耗大量系统内存，从而造成拒绝服务。(CVE-2013-1821)

已发现 RHSA-2011:0910 更新未能正确修复 CVE-2011-1005 问题，将异常消息转换为异常类中字符串的方法存在缺陷。远程攻击者可利用该缺陷绕过安全级 4 的限制，从而允许不受信任（受感染）的代码修改任意不受信任（受感染）的字符串，而安全级 4 的限制本应阻止此行为。(CVE-2012-4481)

Red Hat 的 Vit Ondruch 发现了 CVE-2012-4481 问题。

建议所有 Ruby 用户升级这些更新后的程序包，其中包含用于解决这些问题的向后移植的修补程序。

Shugo Maedo 氏および Vit Ondruch 氏は、Ruby が、汚染されていない文字列が保護安全レベルで変更されるのを誤って許可することを発見しました。攻撃者がこの欠陥を利用して、意図されたアクセス制限をバイパスする可能性があります。
（CVE-2012-4466、 CVE-2012-4481）。

Red Hat セキュリティアドバイザリ 2013:0129 から：

2 つのセキュリティの問題と 1 つのバグを修正する更新済みの ruby パッケージが、 Red Hat Enterprise Linux 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理したり、システム管理タスクを実行する機能があります。

特定の方法が、Ruby の下層のルーチンに渡す前に、ファイル名をサニタイズしていないことが判明しました。Ruby アプリケーションが信頼されない入力に基づく名前でファイルを作成すると、予期していた名前とは違う名前でファイルが作成される可能性があります。
(CVE-2012-4522)

RHSA-2011:0909 の更新が、CVE-2011-1005 の問題、つまり、例外メッセージを例外クラスの文字列に変換する方法にある欠陥を、適切に修正していないことが判明しました。リモートの攻撃者が、この欠陥を利用して、安全レベル 4 の制限をバイパスできます。これにより、信頼されていない（汚染した）コードが、任意の信頼されている（汚染していない）文字列を変更することが可能です。通常、このような動作は、安全レベル 4 の制限により防止されます。(CVE-2012-4481)

CVE-2012-4481 の問題が、Red Hat の Vit Ondruch 氏により発見されました。

この更新では以下のバグも修正されます。

* この更新が出る前は、特定の状況で、特定の gem とともにライブラリをインストールする場合に、「rb_syck_mktime」オプションが、セグメンテーション違反で終了することがありました。この更新により、下層のコードが変更され、 Ruby の gem を予期していた通りにインストールできるようになっています。
（BZ#834381）

ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。

Ruby の REXML ライブラリが、XML エンティティ拡張を適切に制限しないことがわかりました。攻撃者はこの欠陥を利用して、REXML を使用する Ruby アプリケーションを騙して、特別に細工された XML コンテンツからテキストノードを読み込ませることでサービス拒否を引き起こす可能性があり、これによって REXML は大量のシステムメモリを消費することになります。(CVE-2013-1821)

SLSA-2011:0910 の更新が、CVE-2011-1005 の問題、つまり、例外メッセージを例外クラスの文字列に変換する方法にある欠陥を、適切に修正していないことが判明しました。リモートの攻撃者が、この欠陥を利用して、安全レベル 4 の制限をバイパスできます。これにより、信頼されていない（汚染した）コードが、任意の信頼されている（汚染していない）文字列を変更することが可能です。通常、このような動作は、安全レベル 4 の制限により防止されます。(CVE-2012-4481)

CVE-2012-4481 の問題が、Red Hat の Vit Ondruch 氏により発見されました。

2 件のセキュリティ問題を修正する更新された ruby パッケージが、 Red Hat Enterprise Linux 6 に使用できるようになります。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理したり、システム管理タスクを実行する機能があります。

Ruby の REXML ライブラリが、XML エンティティ拡張を適切に制限しないことがわかりました。攻撃者はこの欠陥を利用して、REXML を使用する Ruby アプリケーションを騙して、特別に細工された XML コンテンツからテキストノードを読み込ませることでサービス拒否を引き起こす可能性があり、これによって REXML は大量のシステムメモリを消費することになります。(CVE-2013-1821)

RHSA-2011:0910 の更新が、CVE-2011-1005 の問題、つまり、例外メッセージを例外クラスの文字列に変換する方法にある欠陥を、適切に修正していないことが判明しました。リモートの攻撃者が、この欠陥を利用して、安全レベル 4 の制限をバイパスできます。これにより、信頼されていない（汚染した）コードが、任意の信頼されている（汚染していない）文字列を変更することが可能です。通常、このような動作は、安全レベル 4 の制限により防止されます。(CVE-2012-4481)

CVE-2012-4481 の問題が、Red Hat の Vit Ondruch 氏により発見されました。

ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。

Red Hat セキュリティアドバイザリ 2013:0612 から：

2 件のセキュリティ問題を修正する更新された ruby パッケージが、 Red Hat Enterprise Linux 6 に使用できるようになります。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理したり、システム管理タスクを実行する機能があります。

Ruby の REXML ライブラリが、XML エンティティ拡張を適切に制限しないことがわかりました。攻撃者はこの欠陥を利用して、REXML を使用する Ruby アプリケーションを騙して、特別に細工された XML コンテンツからテキストノードを読み込ませることでサービス拒否を引き起こす可能性があり、これによって REXML は大量のシステムメモリを消費することになります。(CVE-2013-1821)

RHSA-2011:0910 の更新が、CVE-2011-1005 の問題、つまり、例外メッセージを例外クラスの文字列に変換する方法にある欠陥を、適切に修正していないことが判明しました。リモートの攻撃者が、この欠陥を利用して、安全レベル 4 の制限をバイパスできます。これにより、信頼されていない（汚染した）コードが、任意の信頼されている（汚染していない）文字列を変更することが可能です。通常、このような動作は、安全レベル 4 の制限により防止されます。(CVE-2012-4481)

CVE-2012-4481 の問題が、Red Hat の Vit Ondruch 氏により発見されました。

ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決することが推奨されます。

ID	Name	Product	Family	Published	Updated	Severity
68782	Oracle Linux 6：ruby (ELSA-2013-0612)	Nessus	Oracle Linux Local Security Checks	7/12/2013	10/22/2024	medium
62497	Ubuntu 10.04 LTS / 11.04 / 11.10 / 12.04 LTS：ruby1.8 脆弱性（USN-1603-1）	Nessus	Ubuntu Local Security Checks	10/11/2012	9/19/2019	medium
68700	Oracle Linux 5：ruby（ELSA-2013-0129）	Nessus	Oracle Linux Local Security Checks	7/12/2013	10/22/2024	high
65094	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の ruby	Nessus	Scientific Linux Local Security Checks	3/8/2013	1/14/2021	medium
65166	CentOS 6：ruby（CESA-2013:0612）	Nessus	CentOS Local Security Checks	3/10/2013	1/4/2021	medium
68782	Oracle Linux 6：ruby（ELSA-2013-0612）	Nessus	Oracle Linux Local Security Checks	7/12/2013	10/22/2024	medium

Detections

Analytics

Plugins Search

medium

medium

high

medium

medium

medium