远程主机受到 GLSA-201405-10 中所述漏洞的影响（Rack：多个漏洞）

    已在 Rack 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能以进程的权限执行任意代码，从而造成拒绝服务情况，或获取敏感信息。
  变通方案：

    目前无任何已知的变通方案。

修复 CVE-2011-6109、CVE-2013-0183 及 CVE-2013-0184。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Ruby on Rails 2.3 堆栈已更新到 2.3.17。Ruby on Rails 3.2 堆栈已更新到 3.2.12。

Ruby Rack 更新到 1.1.6。Ruby Rack 更新到 1.2.8。Ruby Rack 更新到 1.3.10。Ruby Rack 更新到 1.4.5。

这些更新修复了各种安全问题和缺陷。

- 更新到版本 2.3.17（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 更新到版本 3.2.12 (bnc#803336) CVE-2013-0276：

- 更新到版本 3.2.12 (bnc#803336) CVE-2013-0276：
attr_protected 的问题，畸形输入可避开保护

- 更新到版本 2.3.17（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 修复 attr_protected 的问题，其中畸形输入可以避开保护

- 修复已序列化的属性 YAML 漏洞

- 更新到版本 2.3.17（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 修复 attr_protected 的问题，其中畸形输入可以避开保护

- 修复已序列化的属性 YAML 漏洞

- 更新到版本 3.2.12 (bnc#803336) CVE-2013-0276：

- 将配额数值与非数值列进行对比。否则在某些数据库中，字符串列的值将被强制变成允许 0、0.0 或假的数值，从而与以非数字开头的任何字符串相匹配。

- 更新到 1.1.6 (bnc#802794)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- 更新到 1.2.8 (bnc#802794)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- 更新到 1.3.10 (bnc#802794)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- ruby rack 更新到 1.4.5 (bnc#802794 bnc#802795)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- 修复 CVE-2013-0262，Rack::File 中的符号链接路径遍历

- ruby rack 更新到 1.4.4 (bnc#798452)

- [SEC] Rack::Auth::AbstractRequest 不再代表任意字符串 (CVE-2013-0184)

- ruby rack 自 1.4.3 的更改

- Security：避免大型多部分边界中未限制边界的读取 (CVE-2013-0183)

- ruby rack 自 1.4.2 的更改 (CVE-2012-6109)

- 添加当用户没有提供会话秘钥时的警告

- 修复对无引号的文件名的解析性能

- 更新了 URI 向后移植

- 修复 URI 向后移植版本匹配，并静默固定警告

- 修正空值的参数解析

- 修正 rackup“-I”标记，从而允许多种用途

- 修正 rackup pidfile 处理

- 正确报告 rackup 行编号

- 修复由具有时间限制的非过时临时信息引起的请求循环

- 修复 Windows 上的复载器

- 避免 Response#to_ary 引起的无限递归

- 各种中间件更加符合正文结束规范

- 更新了正文结束规范的语言

- 有关 ECMA 转义兼容性问题的其他注意事项

- 修复对 range 标头中多种范围的解析

- 避免空参数键值引起的错误

- 将 PATCH 动词添加至 Rack::Request

- 各种文档更新

- 修复会话合并语义（修复 rack-test）

- Rack::Static :index 现在可处理多个目录

- 所有测试现在使用 Rack::Lint（特别感谢 Lars Gierth）

- Rack::File cache_control 参数现在已弃用，并在 1.5 中删除

- 修正 Rack::Directory 脚本名称转义

- Rack::Static 支持用于成熟配置的标头规则

- 现在执行多部分解析时不需要 Content-Length 标头

- Zachary Scott 提供了新徽标

- Rack::BodyProxy 现在明确定义了对 C 扩展有用的 #each

- 未进行 URI 转义的 Cookie 不再引起异常

在模块化 Ruby webserver 接口 Rack 中发现多个漏洞。通用漏洞和暴露计划确定以下漏洞：

- CVE-2011-5036 Rack 在未限制预测性触发哈希冲突的能力的情况下计算表单参数的哈希值，这样允许远程攻击者通过发送构建的参数来造成拒绝服务（CPU 消耗）。

- CVE-2013-0183 远程攻击者可通过多部分 HTTP 数据包中的长字符串来造成拒绝服务（内存消耗和内存不足错误）。

- CVE-2013-0184 Rack::Auth::AbstractRequest 中的漏洞允许远程攻击者通过未知矢量来造成拒绝服务。

- CVE-2013-0263 Rack::Session::Cookie 允许远程攻击者通过涉及不以恒定时间运行的 HMAC 比较函数的时序攻击来猜测会话 cookie、获得权限和执行任意代码。

Red Hat Subscription Asset Manager 1.2 修复了多种安全问题、多种缺陷并添加了各种增强，现已可用。

Red Hat 安全响应团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Subscription Asset Manager 是在客户端计算机上处理订阅信息和软件更新的代理。

发现 Katello 在处理某些请求时未正确检查用户权限。如果经认证的远程攻击者知道目标系统的 UUID，则可利用此缺陷下载客户证书或更改其他用户系统的设置。
(CVE-2012-5603)

rubygem-ldap_fluff 中的漏洞允许远程攻击者在 Microsoft Active Directory 服务器用作后端认证服务器时绕过认证并登入 Subscription Asset Manager。(CVE-2012-5604)

发现在安装和配置过程中运行的“/usr/share/katello/script/katello-generate-passphrase”实用工具在“/etc/katello/secure/passphrase”文件中设置全局可读权限。本地攻击者可利用此缺陷获取 Katello 的密码，从而访问其原本没有访问权限的信息。(CVE-2012-5561)

注意：安装此更新后，请确保“/etc/katello/secure/passphrase”文件归根用户和群组以及模式 0750 权限所有。站点还应考虑重新创建 Katello 密码，因为此问题已将密码暴露给本地用户。

在 rubygem-rack 中发现三个缺陷。远程攻击者可利用这些缺陷，针对使用 rubygem-rack 的应用程序执行拒绝服务攻击。（CVE-2012-6109、CVE-2013-0183、CVE-2013-0184）

在 rubygem-activerecord 动态查找器从方法参数提取选项的方式中发现一个缺陷。远程攻击者可能利用此缺陷，针对使用 Active Record 动态查找器方法的应用程序执行 SQL 注入攻击。
(CVE-2012-6496)

发现来自 rubygem-ruby_parser 的 ruby_parser 以不安全的方式创建临时文件。本地攻击者可利用此缺陷执行符号链接攻击，覆盖使用 ruby_parser 的应用程序可访问的任意文件。(CVE-2013-0162)

CVE-2012-5603 问题由 Red Hat 的 Lukas Zapletal 发现；CVE-2012-5604 由 Red Hat 的 Og Maciel 发现；CVE-2012-5561 由 Red Hat Cloud 质量工程团队的 Aaron Weitekamp 发现；CVE-2013-0162 由 Red Hat 区域 IT 团队的 Michael Scherer 发现。

这些更新后的 Subscription Asset Manager 程序包包含许多缺陷补丁和增强。空间有限，无法在此公告中记载所有这些更改。请参阅 Red Hat Subscription Asset Manager 1.2 发行说明了解关于这些更改的信息：

https://access.redhat.com/knowledge/docs/en-US/Red_Hat_Subscription_Asset_Manager/1.2/html/Release_Notes/index.html

建议所有 Red Hat Subscription Asset Manager 用户升级这些更新后的程序包，其中修复了这些问题并添加了各种增强。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
74053	GLSA-201405-10 : Rack：多个漏洞	Nessus	Gentoo Local Security Checks	2014/5/19	2021/1/6	medium
64253	Fedora 17：rubygem-rack-1.4.0-3.fc17 (2013-0861)	Nessus	Fedora Local Security Checks	2013/1/28	2021/1/11	medium
74900	openSUSE 安全更新：RubyOnRails (openSUSE-SU-2013:0338-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
70534	Debian DSA-2783-1：librack-ruby - 多个漏洞	Nessus	Debian Local Security Checks	2013/10/22	2021/1/11	medium
65172	RHEL 6：Subscription Asset Manager (RHSA-2013:0544)	Nessus	Red Hat Local Security Checks	2013/3/10	2021/1/14	high
64251	Fedora 18：rubygem-rack-1.4.0-4.fc18 (2013-0837)	Nessus	Fedora Local Security Checks	2013/1/28	2021/1/11	medium
64254	Fedora 16：rubygem-rack-1.3.0-3.fc16 (2013-0896)	Nessus	Fedora Local Security Checks	2013/1/28	2021/1/11	medium

检测

插件搜索

medium

medium

critical

medium

high

medium

medium