来自 Red Hat 安全公告 2018:3738： ruby 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。 安全补丁： * ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ruby 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。安全修复：* ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ruby 的更新现在可用于 Red Hat Enterprise Linux 7.4 Extended Update Support。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。安全修复：* ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS 主机上安装的程序包受到 USN-3808-1 公告中提及的多个漏洞的影响。

  - 在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x、2.5.2 之前的 2.5.x，以及 2.6.0-preview3 之前的 2.6.x 的 OpenSSL 库中发现问题。当使用 == 比较两个 OpenSSL: :X509: : Name 对象时，根据排序的不同，非相等的对象可能会返回 true。当第一个参数比第二个参数长一个字符时，或者第二个参数所含的字符比第一个参数相同位置少一个字符时，== 的结果将为 true。这可用于创建可被接受为合法的非法证书，然后用于签名或加密操作。(CVE-2018-16395)

  - 在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x 版本、2.5.2 之前的 2.5.x 版本和 2.6.0-preview3 之前的 2.6.x 版本中发现了一个问题。它不会污染因使用某些格式解压缩受污染字符串而产生的字符串。
    (CVE-2018-16396)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受漏洞影响的 ruby 程序包：- 在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x、2.5.2 之前的 2.5.x，以及 2.6.0-preview3 之前的 2.6.x 的 OpenSSL 库中发现问题。使用 == 比较两个 OpenSSL::X509::Name 对象时，根据排序的不同，非相等的对象可能会返回 true。当第一个参数比第二个参数长一个字符时，或者第二个参数所含的字符比第一个参数相同位置少一个字符时，== 的结果将为 true。这可用于创建可被接受为合法的非法证书，然后用于签名或加密操作。(CVE-2018-16395) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

安全修复：- ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395)

远程 Redhat Enterprise Linux 6 / 7 主机上安装的多个程序包受到 RHSA-2018:3730 公告中提及的多个漏洞影响。

  - ruby：WEBrick 中的 HTTP 响应拆分 (CVE-2017-17742)

  - ruby：在 tempfile 和 tmpdir 中，使用目录遍历建立了非预定的文件和目录 (CVE-2018-6914)

  - ruby：WEBrick 中的大型请求导致 DoS (CVE-2018-8777)

  - ruby：String#unpack 中的缓冲区读取不足 (CVE-2018-8778)

  - ruby：在 UNIXServer 和 UNIXSocket 中，中毒的空字节建立了非预定的套接字 (CVE-2018-8779)

  - ruby：在 Dir 中，中毒的空字节造成非预定的目录遍历 (CVE-2018-8780)

  - ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395)

  - ruby：受污染的标志无法以某些指令在 Array#pack 和 String#unpack 中传播 (CVE-2018-16396)

  - rubygems：写入 root 外部符号链接的 basedir 时，发现路径遍历 (CVE-2018-1000073)

  - rubygems：gem 所有者中发现不安全的对象反序列化漏洞，进而允许在特制的 YAML 上执行任意代码 (CVE-2018-1000074)

  - rubygems：因为 tar 标头中的负大小而导致的无限循环漏洞可造成拒绝服务 (CVE-2018-1000075)

  - rubygems：tarball 中的不当签名验证，允许安装签名错误的 gem (CVE-2018-1000076)

  - rubygems：规范主页属性缺少 URL 验证，允许恶意 gem 设置无效的主页 URL (CVE-2018-1000077)

  - rubygems：通过 gem 服务器显示时，主页属性中存在 XSS 漏洞 (CVE-2018-1000078)

  - rubygems：gem 安装期间的路径遍历问题允许写入任意文件系统位置 (CVE-2018-1000079)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的多个程序包受到 RHSA-2018:3729 公告中提及的多个漏洞影响。

  - ruby：WEBrick 中的 HTTP 响应拆分 (CVE-2017-17742)

  - ruby：在 tempfile 和 tmpdir 中，使用目录遍历建立了非预定的文件和目录 (CVE-2018-6914)

  - ruby：WEBrick 中的大型请求导致 DoS (CVE-2018-8777)

  - ruby：String#unpack 中的缓冲区读取不足 (CVE-2018-8778)

  - ruby：在 UNIXServer 和 UNIXSocket 中，中毒的空字节建立了非预定的套接字 (CVE-2018-8779)

  - ruby：在 Dir 中，中毒的空字节造成非预定的目录遍历 (CVE-2018-8780)

  - ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395)

  - ruby：受污染的标志无法以某些指令在 Array#pack 和 String#unpack 中传播 (CVE-2018-16396)

  - rubygems：写入 root 外部符号链接的 basedir 时，发现路径遍历 (CVE-2018-1000073)

  - rubygems：gem 所有者中发现不安全的对象反序列化漏洞，进而允许在特制的 YAML 上执行任意代码 (CVE-2018-1000074)

  - rubygems：因为 tar 标头中的负大小而导致的无限循环漏洞可造成拒绝服务 (CVE-2018-1000075)

  - rubygems：tarball 中的不当签名验证，允许安装签名错误的 gem (CVE-2018-1000076)

  - rubygems：规范主页属性缺少 URL 验证，允许恶意 gem 设置无效的主页 URL (CVE-2018-1000077)

  - rubygems：通过 gem 服务器显示时，主页属性中存在 XSS 漏洞 (CVE-2018-1000078)

  - rubygems：gem 安装期间的路径遍历问题允许写入任意文件系统位置 (CVE-2018-1000079)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CVE-2018-16395 修复了 OpenSSL::X509::Name 相等性检查。CVE-2018-16396 受污染的标志无法以某些指令在 Array#pack 和 String#unpack 中传播。对于 Debian 8“Jessie”，这些问题已在 2.1:5-2+deb8u6 版本中修复。我们建议您升级 ruby2.1 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 Ruby 的 OpenSSL 库中发现一个问题。使用 == 比较两个 OpenSSL::X509::Name 对象时，根据排序的不同，非相等的对象可能会返回 true。当第一个参数比第二个参数长一个字符时，或者第二个参数所含的字符比第一个参数相同位置少一个字符时，== 的结果将为 true。这可用于创建可被接受为合法的非法凭证，然后用于签名或加密操作。(CVE-2018-16395)

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2018:3731 公告中提及的多个漏洞影响。

  - ruby：WEBrick 中的 HTTP 响应拆分 (CVE-2017-17742)

  - ruby：在 tempfile 和 tmpdir 中，使用目录遍历建立了非预定的文件和目录 (CVE-2018-6914)

  - ruby：WEBrick 中的大型请求导致 DoS (CVE-2018-8777)

  - ruby：String#unpack 中的缓冲区读取不足 (CVE-2018-8778)

  - ruby：在 UNIXServer 和 UNIXSocket 中，中毒的空字节建立了非预定的套接字 (CVE-2018-8779)

  - ruby：在 Dir 中，中毒的空字节造成非预定的目录遍历 (CVE-2018-8780)

  - ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395)

  - ruby：受污染的标志无法以某些指令在 Array#pack 和 String#unpack 中传播 (CVE-2018-16396)

  - rubygems：写入 root 外部符号链接的 basedir 时，发现路径遍历 (CVE-2018-1000073)

  - rubygems：gem 所有者中发现不安全的对象反序列化漏洞，进而允许在特制的 YAML 上执行任意代码 (CVE-2018-1000074)

  - rubygems：因为 tar 标头中的负大小而导致的无限循环漏洞可造成拒绝服务 (CVE-2018-1000075)

  - rubygems：tarball 中的不当签名验证，允许安装签名错误的 gem (CVE-2018-1000076)

  - rubygems：规范主页属性缺少 URL 验证，允许恶意 gem 设置无效的主页 URL (CVE-2018-1000077)

  - rubygems：通过 gem 服务器显示时，主页属性中存在 XSS 漏洞 (CVE-2018-1000078)

  - rubygems：gem 安装期间的路径遍历问题允许写入任意文件系统位置 (CVE-2018-1000079)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x、2.5.2 之前的 2.5.x，以及 2.6.0-preview3 之前的 2.6.x 的 OpenSSL 库中发现问题。使用 == 比较两个 OpenSSL::X509::Name 对象时，根据排序的不同，非相等的对象可能会返回 true。当第一个参数比第二个参数长一个字符时，或者第二个参数所含的字符比第一个参数相同位置少一个字符时，== 的结果将为 true。这可用于创建可被接受为合法的非法证书，然后用于签名或加密操作。(CVE-2018-16395)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x、2.5.2 之前的 2.5.x，以及 2.6.0-preview3 之前的 2.6.x 的 OpenSSL 库中发现问题。使用 == 比较两个 OpenSSL::X509::Name 对象时，根据排序的不同，非相等的对象可能会返回 true。当第一个参数比第二个参数长一个字符时，或者第二个参数所含的字符比第一个参数相同位置少一个字符时，== 的结果将为 true。这可以用于创建可接受为合法的非法凭证，然后用于签名或加密操作。(CVE-2018-16395) 在 Ruby 2.3.8 之前版本、2.4.5 之前的 2.4.x、2.5.2 之前的 2.5.x，以及 2.6.0-preview3 之前的 2.6.x 中发现问题。它不会污染因使用某些格式解压缩受污染字符串而产生的字符串。(CVE-2018-16396)

已在 Ruby 语言的解释器中发现多个漏洞。通用漏洞和暴露计划识别以下问题：- CVE-2018-16395 Tyler Eckstein 报告，OpenSSL::X509::Name 对非相等对象的相等性检查可能会返回真。如果传递了恶意的 X.509 证书与现有证书进行比较，就可能会被错误判断为两个证书相等。CVE-2018-16396 Chris Seaton 发现，受污染的标志无法以某些指令在 Array#pack 和 String#unpack 中传播。

ruby 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。安全修复：* ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ruby 的更新现在可用于 Red Hat Enterprise Linux 7.5 Extended Update Support。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。安全修复：* ruby：OpenSSL::X509::Name 相等性检查无法正确运行 (CVE-2018-16395) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
119293	Oracle Linux 7 : ruby (ELSA-2018-3738)	Nessus	Oracle Linux Local Security Checks	2018/11/30	2024/11/1	critical
119294	RHEL 7 : ruby (RHSA-2018:3738)	Nessus	Red Hat Local Security Checks	2018/11/30	2024/4/27	critical
127635	RHEL 7 : ruby (RHSA-2019:1948)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/11/6	critical
183596	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Ruby 漏洞 (USN-3808-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2024/8/28	critical
127221	NewStart CGSL CORE 5.04 / MAIN 5.04：ruby 漏洞 (NS-SA-2019-0043)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
119444	Scientific Linux 安全更新：SL7.x x86_64 中的 ruby	Nessus	Scientific Linux Local Security Checks	2018/12/6	2024/7/17	critical
194017	RHEL 6 / 7 : rh-ruby24-ruby (RHSA-2018:3730)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	critical
194048	RHEL 6 / 7 : rh-ruby23-ruby (RHSA-2018:3729)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	critical
118471	Debian DLA-1558-1：ruby2.1 安全更新	Nessus	Debian Local Security Checks	2018/10/29	2024/7/29	critical
121052	Amazon Linux 2 : ruby (ALAS-2019-1143)	Nessus	Amazon Linux Local Security Checks	2019/1/10	2024/6/27	critical
194050	RHEL 7 : rh-ruby25-ruby (RHSA-2018:3731)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/4/27	critical
222366	Linux Distros 未修补的漏洞: CVE-2018-16395	Nessus	Misc.	2025/3/4	2025/8/19	critical
119472	Amazon Linux AMI : ruby23 / ruby24 (ALAS-2018-1113)	Nessus	Amazon Linux Local Security Checks	2018/12/7	2024/7/17	critical
118721	Debian DSA-4332-1：ruby2.3 - 安全更新	Nessus	Debian Local Security Checks	2018/11/5	2024/7/26	critical
119665	CentOS 7 : ruby (CESA-2018:3738)	Nessus	CentOS Local Security Checks	2018/12/14	2020/4/8	critical
128299	RHEL 7 : ruby (RHSA-2019:2565)	Nessus	Red Hat Local Security Checks	2019/8/28	2024/11/6	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical