更新到 Ruby 2.2.4，包含针对 CVE-2009-5147 和 CVE-2015-7551 的安全补丁。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的多个程序包受到 RHSA-2018:0583 公告中提及的多个漏洞影响。

  - ruby：DL::dlopen 可打开具有受感染的库名称的程序库（CVE-2009-5147、CVE-2015-7551）

  - ruby：Kernel.sprintf 中的缓冲区不足漏洞 (CVE-2017-0898)

  - rubygems：gemspec 摘要字段中的转义序列 (CVE-2017-0899)

  - rubygems：在 gem 规范的汇总长度中没有大小限制 (CVE-2017-0900)

  - rubygems：未正确验证规范名称而导致任意文件覆盖 (CVE-2017-0901)

  - rubygems：DNS 请求劫持漏洞 (CVE-2017-0902)

  - rubygems：通过 YAML 格式化的 gem 规格造成不安全的对象反序列化 (CVE-2017-0903)

  - ruby：在 WEBrick 的基础身份验证中发现逸出序列注入漏洞 (CVE-2017-10784)

  - ruby：OpenSSL ASN1 解码中存在缓冲区不足 (CVE-2017-14033)

  - ruby：JSON.generate 调用期间存在任意堆暴露 (CVE-2017-14064)

  - ruby：Net::FTP 中的命令注入漏洞 (CVE-2017-17405)

  - ruby：lib/resolv.rb:lazy_initialize() 中的命令注入允许任意代码执行(CVE-2017-17790)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 修补程序级别 648 之前的 Ruby 中的 DL::dlopen 1.8、 1.9.0、 1.9.2、 1.9.3、 2.0.0 以及低于 2.1.8 的 2.1 打开带有受感染名称的库。 (CVE-2009-5147)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

发现 Ruby DL: : dlopen 未能正确处理库的开启。攻击者可能利用此问题以感染名打开库。此问题仅影响 Ubuntu 14.04 LTS。
(CVE-2009-5147)

Tony Arcieri、Jeffrey Walton 和 Steffan Ullrich 发现 Ruby OpenSSL 扩展未能正确处理主机名通配符匹配。
此问题仅影响 Ubuntu 14.04 LTS。(CVE-2015-1855)

Christian Hofstaedtler 发现 Ruby Fiddle: : Handle 错误地处理了某些精心制作的字符串。攻击者可利用此问题造成拒绝服务或可能执行任意代码。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2015-7551)

发现 Ruby Net: : SMTP 错误地处理了 CRLF 序列。远程攻击者可能利用此问题注入 SMTP 命令。(CVE-2015-9096)

Marcin Noga 发现 Ruby 未能正确处理某些 TclTkIp 类方式的参数。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS。
(CVE-2016-2337)

发现 Ruby Fiddle: : Function.new 未能正确处理某些参数。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS。
(CVE-2016-2339)

发现 Ruby 在 GCM 模式下未能正确处理初始向量 (IV)。攻击者可能利用此问题绕过加密。(CVE-2016-7798)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

“sheepman”修复了 Ruby 1.8 中的一个漏洞：即使 $SAFE > 0，DL::dlopen 也可打开具有受感染名称的库。

对于 Debian 6“Squeeze”，已在 ruby1.8 1.8.7.302-2squeeze5 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

“sheepman”修复了 Ruby 1.9.1 中的一个漏洞：即使 $SAFE > 0，DL::dlopen 也可打开具有受感染名称的库。

对于 Debian 6“Squeeze”，已在 ruby1.9.1 1.9.2.0-2+deb6u7 中修复此问题

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
89454	Fedora 23：ruby-2.2.4-47.fc23 (2015-eef21b972e)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
194057	RHEL 6 / 7 : rh-ruby22-ruby (RHSA-2018:0583)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/4/15	critical
89397	Fedora 22：ruby-2.2.4-47.fc22 (2015-c4409eb73a)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
217112	Linux Distros 未修补的漏洞: CVE-2009-5147	Nessus	Misc.	2025/3/3	2025/8/21	high
101974	Ubuntu 14.04 LTS / 16.04 LTS：Ruby 漏洞 (USN-3365-1)	Nessus	Ubuntu Local Security Checks	2017/7/26	2025/9/3	critical
85654	Debian DLA-299-1：ruby1.8 安全更新	Nessus	Debian Local Security Checks	2015/8/27	2021/1/11	high
85655	Debian DLA-300-1：ruby1.9.1 安全更新	Nessus	Debian Local Security Checks	2015/8/27	2021/1/11	high

检测

插件搜索

high

critical

high

high

critical

high

high