更新版 rubygems 程序包修复了一个安全问题，现在可用于 Red Hat OpenShift Enterprise 2.0.2。Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。RubyGems 是发布和管理第三方库的 Ruby 标准。已发现 rubygems API 使用不安全的正则表达式验证版本字符串。利用此 API 处理来自不受信任来源的版本字符串的应用程序容易通过 CPU 耗尽遭受拒绝服务攻击。(CVE-2013-4287) Red Hat 在此感谢 Rubygems 上游报告此问题。上游感谢原始报告者 Damir Sharipov。建议所有 Red Hat OpenShift Enterprise 2.0.2 用户升级到此更新版程序包，其中包含用于修正此问题的向后移植修补程序。

已发现 RubyGems 未验证 SSL 连接。这可导致中间人攻击。(CVE-2012-2126)

已发现，当使用 RubyGems 时，连接可从 HTTPS 重定向为 HTTP。如果该连接已静默降级为 HTTP，这可导致用户认为他们正在通过 HTTPS 安装 gem。(CVE-2012-2125)

已发现 rubygems API 使用不安全的正则表达式验证版本字符串。利用此 API 处理来自不受信任来源的版本字符串的应用程序容易通过 CPU 耗尽遭受拒绝服务攻击。
(CVE-2013-4287)

根据其自我报告的版本号，远程主机上安装的 Puppet Enterprise 版本低于 3.1.0。因此，有报告称它受到多种漏洞的影响：

- 存在一个与 Fiddle 和 DL 模块以及“$SAFE”级别验证和对象处理相关的错误，可允许攻击者修改系统调用。
 (CVE-2013-2065)

- 存在一个在处理 YAML 报告时触发的远程代码执行漏洞。这可能允许远程攻击者执行任意代码。
 (CVE-2013-4957)

- 存在一个控制台帐户暴力破解漏洞，可允许攻击者暴力破解已知用户的密码。(CVE-2013-4965)

- 存在一个 RubyGems 算法复杂性拒绝服务漏洞，可允许攻击者通过 CPU 消耗来造成拒绝服务。
 (CVE-2013-4287)

来自 Red Hat 安全公告 2013:1441：

更新后的 rubygems 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RubyGems 是发布和管理第三方库的 Ruby 标准。

已发现 RubyGems 未验证 SSL 连接。这可导致中间人攻击。(CVE-2012-2126)

已发现，当使用 RubyGems 时，连接可从 HTTPS 重定向为 HTTP。如果该连接已静默降级为 HTTP，这可导致用户认为他们正在通过 HTTPS 安装 gem。(CVE-2012-2125)

已发现 rubygems API 使用不安全的正则表达式验证版本字符串。利用此 API 处理来自不受信任来源的版本字符串的应用程序容易通过 CPU 耗尽遭受拒绝服务攻击。
(CVE-2013-4287)

Red Hat 在此感谢上游 Rubygems 报告 CVE-2013-4287。上游感谢原始报告者 Damir Sharipov。

建议所有 rubygems 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

Ruby Gem 开发人员报告：

RubyGems 使用容易因回溯而发生拒绝服务的正则表达式验证版本。对于特别构建的 RubyGems 版本，攻击者可通过消耗 CPU 造成拒绝服务。

lib/rubygems/version.rb 的 Gem: : Version: : VERSION_PATTERN（适用于 1.8.23.1 之前版本的 RubyGems、1.8.24 到 1.8.25 版的 RubyGems、2.0.8 之前的 RubyGems 2.0.x 以及 2.1.0 之前的 RubyGems 2.1.x）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - Gem: : 版本：: ERSION_PATTERN（1.8.23.1 之前的 RubyGems 版本、1.8.24 到 1.8.25、2.0.8 之前的 2.0.x 版本以及 2.1.0 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。
    (CVE-2013-4287)

  - Gem: : 版本：: ANCHORED_VERSION_PATTERN（1.8.23.2 之前的 RubyGems 版本、1.8.24 到 1.8.26、2.0.10 之前的 2.0.x 版本以及 2.1.5 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。注意：此问题的原因是对 CVE-2013-4287 的修复不完整。(CVE-2013-4363)

更新后的 rubygems 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

RubyGems 是发布和管理第三方库的 Ruby 标准。

已发现 RubyGems 未验证 SSL 连接。这可导致中间人攻击。(CVE-2012-2126)

已发现，当使用 RubyGems 时，连接可从 HTTPS 重定向为 HTTP。如果该连接已静默降级为 HTTP，这可导致用户认为他们正在通过 HTTPS 安装 gem。(CVE-2012-2125)

已发现 rubygems API 使用不安全的正则表达式验证版本字符串。利用此 API 处理来自不受信任来源的版本字符串的应用程序容易通过 CPU 耗尽遭受拒绝服务攻击。
(CVE-2013-4287)

Red Hat 在此感谢上游 Rubygems 报告 CVE-2013-4287。上游感谢原始报告者 Damir Sharipov。

建议所有 rubygems 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - Ruby 1.8、1.9.3-p484 之前的 1.9、2.0.0-p353 之前的 2.0、2.1.0 preview2 之前的 2.1 以及 43780 修订版之前的中继版本中存在基于堆的缓冲区溢出，允许上下文有关的攻击者通过转换成浮点值的字符串造成拒绝服务（分段错误）并执行任意代码，这一点已通过使用 (1) to_f 方法或 (2) JSON.parse 证实。(CVE-2013-4164)

  - Gem: : 版本：: ERSION_PATTERN（1.8.23.1 之前的 RubyGems 版本、1.8.24 到 1.8.25、2.0.8 之前的 2.0.x 版本以及 2.1.0 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。
    (CVE-2013-4287)

  - Gem: : 版本：: ANCHORED_VERSION_PATTERN（1.8.23.2 之前的 RubyGems 版本、1.8.24 到 1.8.26、2.0.10 之前的 2.0.x 版本以及 2.1.5 之前的 2.1.x 版本的 lib/rubygems/version.rb 中）中存在算法复杂性漏洞，用于 Ruby 1.9.0 到 2.0.0p247 版本时，允许远程攻击者通过在正则表达式中触发大量回溯的构建 gem 版本造成拒绝服务（CPU 消耗）。注意：此问题的原因是对 CVE-2013-4287 的修复不完整。(CVE-2013-4363)

更新后的 Grid 组件程序包修复了多种安全问题，现在可用于 Red Hat Enterprise MRG 2.4 for Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Enterprise MRG（Messaging、Realtime 和 Grid）是用于企业计算的下一代 IT 基础架构。MRG 为企业客户提供更高的性能、可靠性和互操作性以及更快的计算速度。

MRG 网格提供高吞吐量计算，使企业可通过利用其现有技术构建高性能网格，从而实现更高的峰值计算能力和改进的基础架构使用率。MRG 网格提供作业排队机制、计划策略和优先级方案以及资源监控和资源管理。用户将其作业提交给 MRG 网格，并于此处将作业放入队列中。然后，MRG 网格根据策略选择运行此作业的时间和地点、精心监控作业的进度并在最终完成后通知用户。

已发现，当使用 RubyGems 时，连接可从 HTTPS 重定向为 HTTP。如果该连接已静默降级为 HTTP，这可导致用户认为他们正在通过 HTTPS 安装 gem。(CVE-2012-2125)

已发现 RubyGems 未验证 SSL 连接。这可导致中间人攻击。(CVE-2012-2126)

已发现 rubygems API 使用不安全的正则表达式验证版本字符串。利用此 API 处理来自不受信任来源的版本字符串的应用程序容易通过 CPU 耗尽遭受拒绝服务攻击。
(CVE-2013-4287)

在 cumin 强制使用用户角色的方式中发现缺陷，该缺陷允许非特权 cumin 用户在不具有相应角色的情况下访问各种资源。远程认证攻击者可以利用此缺陷访问特权信息并执行各种特权操作。(CVE-2013-4404)

已发现 cumin Web 界面中的多个表单未对跨站请求伪造 (CSRF) 攻击进行保护。如果远程攻击者可以欺骗登录到 cumin Web 界面的用户，使其访问特别构建的 URL，攻击者就能够在登录用户的上下文中执行操作。(CVE-2013-4405)

已发现 cumin 未正确转义来自 cumin Web 界面的“Set limit”表单的“Max allowance”字段中的输入。远程攻击者可利用此缺陷，通过欺骗受害者访问特别构建的 URL 对其发动跨站脚本 (XSS) 攻击。(CVE-2013-4414)

在 cumin 解析 POST 请求数据的方式中发现一个缺陷。远程攻击者可能利用此缺陷对 cumin 的数据库发动 SQL 注入攻击。(CVE-2013-4461)

Red Hat 在此感谢上游 Rubygems 报告 CVE-2013-4287。上游感谢 CVE-2013-4287 的原始报告者 Damir Sharipov。Red Hat MRG 质量工程团队的 Tomáš Nováčik 发现了 CVE-2013-4404、CVE-2013-4405、CVE-2013-4414 和 CVE-2013-4461 问题。

建议 Red Hat Enterprise MRG 的所有 Grid 功能用户升级到这些更新后的程序包，其中修正了这些问题。

ruby19 已更新，修复了以下安全问题：

- 修复 CVE-2013-2065：DL 和 Fiddle 中的对象感染绕过 (bnc#843686) 文件 CVE-2013-2065.patch 包含修补程序

- 修复 CVE-2013-4287 CVE-2013-4363：ruby19：算法复杂性漏洞 (bnc#837457) 文件 CVE-2013-4287-4363.patch 包含修补程序

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
119345	RHEL 6 : rubygems (RHSA-2014:0207)	Nessus	Red Hat Local Security Checks	2018/12/4	2021/1/14	medium
70491	Scientific Linux 安全更新：SL6.x 中的 rubygems (noarch)	Nessus	Scientific Linux Local Security Checks	2013/10/18	2021/1/14	medium
70684	Puppet Enterprise < 3.1.0 多种漏洞	Nessus	CGI abuses	2013/10/29	2021/1/19	medium
70524	Oracle Linux 6：rubygems (ELSA-2013-1441)	Nessus	Oracle Linux Local Security Checks	2013/10/20	2021/1/14	medium
71070	FreeBSD：ruby-gems -- 算法复杂性漏洞 (54237182-9635-4a8b-92d7-33bfaeed84cd)	Nessus	FreeBSD Local Security Checks	2013/11/25	2021/1/6	medium
70234	Amazon Linux AMI：rubygems (ALAS-2013-230)	Nessus	Amazon Linux Local Security Checks	2013/10/1	2018/4/18	medium
80760	Oracle Solaris 第三方修补程序更新：rubygems (multiple_cryptographic_issues_vulnerabilities_in1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
70489	RHEL 6：rubygems (RHSA-2013:1441)	Nessus	Red Hat Local Security Checks	2013/10/18	2021/1/14	medium
70501	CentOS 6：rubygems (CESA-2013:1441)	Nessus	CentOS Local Security Checks	2013/10/20	2021/1/4	medium
80756	Oracle Solaris 第三方修补程序更新：ruby (multiple_cryptographic_issues_vulnerabilities_in)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
80757	Oracle Solaris 第三方修补程序更新：ruby (multiple_vulnerabilities_in_ruby1)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	medium
76671	RHEL 6：MRG (RHSA-2013:1852)	Nessus	Red Hat Local Security Checks	2014/7/22	2021/1/14	high
75178	openSUSE 安全更新：ruby19 (openSUSE-SU-2013:1611-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

high

medium