因此，该软件受到 ALAS2023-2026-1807 公告中提及的多个漏洞影响。

    zlib 是用于 zlib 压缩/解压缩库的 Ruby 接口。3.0.0 及其更低版本、3.1.0、3.1.1、3.2.0 和 3.2.1 版本的 Zlib::GzipReader 中包含冲区溢出漏洞。zstream_buffer_ungets 函数将调用程序提供的字节插入到已生成的输出数据之前，但在 memmove 移动现有数据之前，未能确保底层的 Ruby 字符串具有足够的容量。当缓冲区长度超过容量时，这可导致内存损坏。此问题已在 3.0.1、3.1.2 和 3.2.3 版本中修复。(CVE-2026-27820)

    Net::IMAP 在 Ruby 中实现 Internet 消息访问协议 (IMAP) 客户端功能。在低于 0.4.24、0.5.14 和 0.6.4 的版本中，Net::IMAP::ResponseReader 在读取包含许多字符串文本的大型响应时具有二次时间复杂度。恶意服务器可发送特别构建的响应来耗尽客户端的 CPU，发动拒绝服务攻击。已在版本 0.4.24、0.5.14 和 0.6.4 中修补此问题。(CVE-2026-42245)

    Net::IMAP 在 Ruby 中实现 Internet 消息访问协议 (IMAP) 客户端功能。在低于 0.3.10、0.4.24、0.5.14、0.6.4 的版本，中间人攻击者可导致 Net::IMAP#starttls 在未启动 TLS 的情况下成功返回。已在 0.3.10、 0.4.24、0.5.14 和 0.6.4 中修补此问题。(CVE-2026-42246)

    Net::IMAP 在 Ruby 中实现 Internet 消息访问协议 (IMAP) 客户端功能。在 0.4.0 至 0.4.24 版本、0.5.0 至 0.5.14 版本、0.6.0 至 0.6.4 版本中，使用 SCRAM-SHA1 或 SCRAM-SHA256 进行连接身份验证时，恶意服务器可通过发送大迭代计数值，对客户端进程执行计算拒绝服务攻击。已在版本 0.4.24、0.5.14 和 0.6.4 中修补此问题。(CVE-2026-42256)

    Net::IMAP 在 Ruby 中实现 Internet 消息访问协议 (IMAP) 客户端功能。在低于 0.4.24、0.5.14 和 0.6.4 的版本中，多个 Net::IMAP 命令接受在未经验证或转义的情况下发送到服务器的原始字符串参数。如果此字符串来源于用户控制的输入，则可能包含 CRLF 序列，攻击者可利用此序列注入任意 IMAP 命令。已在版本 0.4.24、0.5.14 和 0.6.4 中修补此问题。(CVE-2026-42257)

    Net::IMAP 在 Ruby 中实现 Internet 消息访问协议 (IMAP) 客户端功能。在低于 0.4.24、0.5.14 和 0.6.4 的版本中，符号参数容易遭受因将符号参数传递到 IMAP 命令引起的 CRLF 注入/IMAP 命令注入的影响。已在版本 0.4.24、0.5.14 和 0.6.4 中修补此问题。(CVE-2026-42258)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：ruby3.4、ruby3.4-bundled-gems、ruby3.4-default-gems (ALAS2023-2026-1807)

high Nessus 插件 ID 319837

版本 1.1