远程 RockyLinux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2025:7539 中提及的多个漏洞的影响。

    * oniguruma：regexec.c 中的 search_in_range 函数的整数溢出导致越界读取 (CVE-2019-19012)

    * rubygem-bundler：Gemfiles 中的意外执行代码 (CVE-2021-43809)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:7539 公告中提及的多个漏洞的影响。

    Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

    安全修复：

    * oniguruma：regexec.c 中的 search_in_range 函数的整数溢出导致越界读取 (CVE-2019-19012)

    * rubygem-bundler：Gemfiles 中的意外执行代码 (CVE-2021-43809)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2025-7539 公告中提及的多个漏洞影响。

    - 修复了 regexec.c 的 search_in_range 函数中的整数溢出 (CVE-2019-19012)。
      已解决：RHEL-87505

    rubygem-abrt rubygem-bson rubygem-bundler

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202408-22 中所述漏洞影响（Bundler：多个漏洞）

    在 Bundler 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - “Bundler”是 Ruby 中用于管理应用程序依存关系的程序包。在 2.2.33之前的“bundler”版本中，当使用不受信任且明显无害的“Gemfile”时，预期它们不会导致执行外部代码，除非这在“Gemfile”本身内的 ruby 代码中有明确规定。但是，如果 `Gemfile` 包含使用 `git` 选项且无效（但看似无害）且以破折号开头的 `gem` 条目，则这可能是误报。为处理来自 Git 存储库而非注册表的依存关系，Bundler 使用了多种命令，例如“git clone”。这些命令使用用户输入（例如存储库 URL）构建。构建命令时， 2.2.33 之前的捆绑程序版本通过传递参数数组而非命令字符串，正确避免命令注入漏洞。但是，用户输入可能以破折号 (`-`) 开头，并因此被视为可选参数，而非位置参数。这可能导致代码执行，因为某些命令包含可用于运行任意可执行文件的选项。由于此值来自“Gemfile”文件，因此它可以包含任何字符，包括开头的破折号。要利用此漏洞，攻击者必须构建包含 `Gemfile` 文件的目录，该文件声明位于 Git 存储库中的依存关系。此依存关系必须具有“-u./payload”格式的 Git URL。此 URL 将用于构建 Git 克隆命令，但会被解释为 upload-pack 参数。然后需要与受害者共享此目录，受害者然后需要运行命令来评估其中的 Gemfile，例如“bundle lock”。此漏洞可导致任意代码执行，从而可能导致接管系统。但是，可利用性非常低，因为它需要大量用户交互。Bundler 2.2.33 已修补此问题，方法是在受此问题影响的 Git 命令的任何位置参数之前插入 "--" 作为参数。无论用户是否可以升级，都应在运行任何可能读取“Gemfile”的“bundler”命令之前检查其不受信任的“Gemfile”，因为它们可能包含任意 Ruby 代码。 (CVE-2021-43809)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4163 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4163-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lucas kanashiro 2025 年 5 月 12 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包rubygems 版本3.2.5-2+deb11u1 CVE ID CVE-2021-43809 CVE-2023-28755 CVE-2025-27221

    在包含用于 Ruby 的程序包管理框架和用于 Ruby 应用程序的依存关系管理器的 rubygems 中发现多个漏洞。

    CVE-2021-43809

        在 2.2.33之前的捆绑程序中使用不受信任且明显无害的“Gemfile”时预期它们不会导致执行外部代码除非在“Gemfile”本身内的 ruby 代码中明确指出。但是如果“Gemfile”包含“gem”条目该条目使用的“git”选项具有无效但看似无害的值且带有前导破折号则这可能是 false。为处理来自 Git 存储库而非注册表的依存关系Bundler 会使用各种命令例如“git clone”。正在使用用户输入例如存储库的 URL 构建这些命令。构建命令时 2.2.33 之前版本的 Bundler 会通过传递参数数组而非命令字符串正确避免命令注入漏洞。但是用户输入可能以破折号 (`-`) 开头因此被视为可选参数而不是位置参数。这可导致代码执行因为某些命令具有可用于运行任意可执行文件的选项。

    CVE-2023-28755

        在 Ruby 及之前版本的 URI 组件 0.12.0 中发现 ReDoS 问题 3.2.1。URI 解析器错误处理具有特定字符的无效 URL，这会导致将字符串解析为 URI 对象的执行时间增加。

    CVE-2025-27221

        URI 处理方法URI.join、URI#merge、URI#+会无意间泄漏认证凭据因为即使在更改主机之后也会保留 userinfo。

    对于 Debian 11 Bullseye这些问题已在 3.2.5-2+deb11u1 版本中修复。

    建议您升级 rubygems 程序包。

    有关 rubygems 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/rubygems

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机存在安装的程序包该程序包受到 ALSA-2025:7539 公告中提及的多个漏洞的影响。

    * oniguruma：regexec.c 中的 search_in_range 函数的整数溢出导致越界读取 (CVE-2019-19012)
      * rubygem-bundler：Gemfiles 中的意外执行代码 (CVE-2021-43809)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
243140	RockyLinux 8ruby:2.5 (RLSA-2025:7539)	Nessus	Rocky Linux Local Security Checks	2025/7/30	2025/7/30	critical
235934	RHEL 8：ruby:2.5 (RHSA-2025:7539)	Nessus	Red Hat Local Security Checks	2025/5/14	2025/6/5	critical
236947	Oracle Linux 8ruby:2.5 (ELSA-2025-7539)	Nessus	Oracle Linux Local Security Checks	2025/5/19	2025/5/19	critical
205347	GLSA-202408-22：Bundler：多个漏洞	Nessus	Gentoo Local Security Checks	2024/8/10	2024/8/10	high
224238	Linux Distros 未修补的漏洞: CVE-2021-43809	Nessus	Misc.	2025/3/5	2025/3/5	high
236773	Debian dla-4163bundler - 安全更新	Nessus	Debian Local Security Checks	2025/5/15	2025/5/15	low
241322	AlmaLinux 8ruby:2.5 (ALSA-2025:7539)	Nessus	Alma Linux Local Security Checks	2025/7/3	2025/7/3	critical

检测

插件搜索

critical

critical

critical

high

high

low

critical