发现 Ruby DL: : dlopen 未能正确处理库的开启。攻击者可能利用此问题以感染名打开库。此问题仅影响 Ubuntu 14.04 LTS。
(CVE-2009-5147)

Tony Arcieri、Jeffrey Walton 和 Steffan Ullrich 发现 Ruby OpenSSL 扩展未能正确处理主机名通配符匹配。
此问题仅影响 Ubuntu 14.04 LTS。(CVE-2015-1855)

Christian Hofstaedtler 发现 Ruby Fiddle: : Handle 错误地处理了某些精心制作的字符串。攻击者可利用此问题造成拒绝服务或可能执行任意代码。此问题仅影响 Ubuntu 14.04 LTS。(CVE-2015-7551)

发现 Ruby Net: : SMTP 错误地处理了 CRLF 序列。远程攻击者可能利用此问题注入 SMTP 命令。(CVE-2015-9096)

Marcin Noga 发现 Ruby 未能正确处理某些 TclTkIp 类方式的参数。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS。
(CVE-2016-2337)

发现 Ruby Fiddle: : Function.new 未能正确处理某些参数。攻击者可能利用此问题执行任意代码。此问题仅影响 Ubuntu 14.04 LTS。
(CVE-2016-2339)

发现 Ruby 在 GCM 模式下未能正确处理初始向量 (IV)。攻击者可能利用此问题绕过加密。(CVE-2016-7798)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

正如上游公告中所述，Ruby 的 OpenSSL 扩展受到主机名匹配过于宽松所导致的漏洞影响，可能会造成类似 CVE-2014-1492 的缺陷。

修复 CVE-2015-1855 ruby：OpenSSL 扩展主机名匹配实现违反 RFC 6125

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Ruby 开发人员报告：

审查 RFC 6125 和 RFC 5280 后，我们发现在匹配主机名尤其是通配符证书时存在多项违规。

Ruby 的 OpenSSL 扩展将提供基于字符串的匹配算法，该算法按照这些 RFC 的建议遵循更加严格的行为方式。特别是，不再允许一个主题/SAN 匹配多个通配符。此外，对这些值的比较目前不区分大小写。

发现 Ruby OpenSSL 扩展（Ruby 语言解释器的一部分）未正确实现主机名匹配，从而违反 RFC 6125。这可能允许远程攻击者通过特别构建的 SSL 证书执行中间人攻击。

更新后的 ruby 程序包修复了安全漏洞：

Ruby OpenSSL 主机名匹配实现违反 RFC 6125 (CVE-2015-1855)。

适用于 MBS2 的 ruby 程序包已更新到版本 2.0.0-p645，修复了此问题。

远程主机正在运行的 Mac OS X 版本为 10.6.8 或更高版本，但低于 10.11.。因此，它受到以下组件中的多种漏洞影响：

- Address Book
 - AirScan
 - apache_mod_php
 - Apple Online Store Kit
 - AppleEvents
 - Audio
 - bash
 - Certificate Trust Policy
 - CFNetwork Cookies
 - CFNetwork FTPProtocol
 - CFNetwork HTTPProtocol
 - CFNetwork Proxies
 - CFNetwork SSL
 - CoreCrypto
 - CoreText
 - Dev Tools
 - Disk Images
 - dyld
 - EFI
 - Finder
 - Game Center
 - Heimdal
 - ICU
 - Install Framework Legacy
 - Intel Graphics Driver
 - IOAudioFamily
 - IOGraphics
 - IOHIDFamily
 - IOStorageFamily
 - Kernel
 - libc
 - libpthread
 - libxpc
 - Login Window
 - lukemftpd
 - Mail
 - Multipeer Connectivity
 - NetworkExtension
 - Notes
 - OpenSSH
 - OpenSSL
 - procmail
 - remote_cmds
 - removefile
 - Ruby
 - Safari
 - Safari Downloads
 - Safari Extensions
 - Safari Safe Browsing
 - Security
 - SMB
 - SQLite
 - Telephony
 - Terminal
 - tidy
 - Time Machine
 - WebKit
 - WebKit CSS
 - WebKit JavaScript Bindings
 - WebKit Page Loading
 - WebKit Plug-ins

请注意，如果成功利用最严重的问题则可能导致执行任意代码。

发现 Ruby OpenSSL 扩展（Ruby 语言解释器的一部分）未正确实现主机名匹配，从而违反 RFC 6125。这可能允许远程攻击者通过特别构建的 SSL 证书执行中间人攻击。

对于旧稳定发行版本 (squeeze)，已在版本 1.8.7.302-2squeeze4 中修复此问题。

对于旧稳定发行版本 (wheezy)，已在版本 1.8.7.358-7.1+deb7u3 中修复此问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

CVE-2011-0188 低于 10.6.7 版本的 Apple Mac OS X 及其他平台上使用的 Ruby 1.9.2-p136 及较早版本中 BigDecimal 类的 bigdecimal.c 中的 VpMemAlloc 函数不会正确分配内存，从而允许上下文有关的攻击者通过涉及 64 位进程内大型 BigDecimal 值创建的矢量来执行任意代码或造成拒绝服务（应用程序崩溃），此问题与“整数截断问题”有关。

CVE-2011-2705 使用上游 SVN r32050 修改 PRNG 状态以防止具有相同 pid 的 fork 子进程发生随机数序列重复。由 Eric Wong 报告。

CVE-2012-4522 低于修补程序等级 286 的 Ruby 1.9.3 以及低于 r37163 的 Ruby 2.0.0 的 file.c 中的 rb_get_path_check 函数允许上下文有关的攻击者通过文件路径中的空字节在非预期位置或以非预期名称创建文件。

CVE-2013-0256 Ruby 中使用的 RDoc 2.3.0 到 3.12 以及低于 4.0.0.preview2.1 版本的 4.x 中的 darkfish.js 不会正确生成文档，从而允许远程攻击者通过构建的 URL 进行跨站脚本 (XSS) 攻击。

CVE-2013-2065 低于 1.9.3 修补程序等级 426 的 Ruby 1.9 以及低于 2.0.0 修补程序等级 195 的 2.0 中的 (1) DL 和 (2) Fiddle 不会对本机函数执行感染检查，从而允许上下文有关的攻击者绕过预期的 $SAFE 级别限制。

CVE-2015-1855 OpenSSL 扩展主机名匹配实现违反 RFC 6125

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
101974	Ubuntu 14.04 LTS / 16.04 LTS：Ruby 漏洞 (USN-3365-1)	Nessus	Ubuntu Local Security Checks	2017/7/26	2023/10/20	critical
83881	Amazon Linux AMI：ruby18 (ALAS-2015-529)	Nessus	Amazon Linux Local Security Checks	2015/5/29	2019/12/18	medium
83043	Fedora 22：ruby-2.2.2-11.fc22 (2015-6238)	Nessus	Fedora Local Security Checks	2015/4/24	2021/1/11	medium
83885	Amazon Linux AMI：ruby22 (ALAS-2015-533)	Nessus	Amazon Linux Local Security Checks	2015/5/29	2019/12/18	medium
82753	FreeBSD：Ruby -- OpenSSL 主机名验证漏洞 (d4379f59-3e9b-49eb-933b-61de4d0b0fdb)	Nessus	FreeBSD Local Security Checks	2015/4/14	2021/1/6	medium
83231	Debian DSA-3245-1：ruby1.8 - 安全更新	Nessus	Debian Local Security Checks	2015/5/5	2021/1/11	medium
83248	Mandriva Linux 安全公告：ruby (MDVSA-2015:224)	Nessus	Mandriva Local Security Checks	2015/5/5	2021/1/14	high
86270	Mac OS X < 10.11 多种漏洞 (GHOST)	Nessus	MacOS X Local Security Checks	2015/10/5	2019/6/20	critical
83883	Amazon Linux AMI：ruby20 (ALAS-2015-531)	Nessus	Amazon Linux Local Security Checks	2015/5/29	2019/12/18	medium
83884	Amazon Linux AMI：ruby21 (ALAS-2015-532)	Nessus	Amazon Linux Local Security Checks	2015/5/29	2019/12/18	medium
83531	Debian DLA-224-1：ruby1.8 安全更新	Nessus	Debian Local Security Checks	2015/5/19	2021/1/11	medium
83882	Amazon Linux AMI：ruby19 (ALAS-2015-530)	Nessus	Amazon Linux Local Security Checks	2015/5/29	2019/12/18	medium
83907	Debian DLA-235-1：ruby1.9.1 安全更新	Nessus	Debian Local Security Checks	2015/6/1	2021/1/11	medium
83125	Fedora 21：ruby-2.1.6-27.fc21 (2015-6377)	Nessus	Fedora Local Security Checks	2015/4/29	2021/1/11	medium
83232	Debian DSA-3246-1：ruby1.9.1 - 安全更新	Nessus	Debian Local Security Checks	2015/5/5	2021/1/11	medium
83233	Debian DSA-3247-1：ruby2.1 - 安全更新	Nessus	Debian Local Security Checks	2015/5/5	2021/1/11	medium

检测

插件搜索

critical

medium

medium

medium

medium

medium

high

critical

medium

medium

medium

medium

medium

medium

medium

medium