远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2014:1913 公告中提及的多个漏洞的影响。

    Ruby 是一种可扩展的直译式面向对象的脚本语言。
    它具有处理文本文件和执行系统管理任务的功能。

    在 Ruby REXML XML 解析器执行参数实体扩展的方式中发现多个拒绝服务缺陷。特别构建的 XML 文档可导致 REXML 过度消耗 CPU 和内存。
    （CVE-2014-8080、CVE-2014-8090）

    在 Ruby 阵列 pack() 方法的实现中发现基于堆栈的缓冲区溢出。执行 base64 编码时，可将单个字节写入缓冲区的末尾之外，这样可能导致 Ruby 崩溃。
    (CVE-2014-4975)

    CVE-2014-8090 问题由 Red Hat 产品安全团队发现。

    建议所有 ruby193-ruby 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。所有正在运行的 Ruby 实例都需要重新启动才能使此更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CVE-2014-8080 の上流パッチでは、REXML.entity_expansion_text_limit に対するチェックが導入されましたが、実行する拡張の数を限定する制限 (つまり、REXML: : Document.entity_expansion_limit に対するチェック) は追加されていません。その結果、このパッチが適用されていても、小さな XML ドキュメントによって REXML で過剰な量の CPU 時間が使われることがあります。より大きな入力を使用すると、高いメモリ使用率が達成されることがあります。

リモートの Ubuntu 14.04 LTS ホストには、USN-2412-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Tomas Hoger 氏は、Ruby が XML エンティティ展開を不適切に処理していたことを発見しました。攻撃者がこの欠陥を利用して Ruby に大量のリソースを消費させ、サービス拒否を引き起こす可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

2 件のセキュリティ問題を修正する更新された ruby パッケージが、 Red Hat Enterprise Linux 6 に使用できるようになります。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理する機能、およびシステム管理タスクを実行する機能があります。

Ruby REXML XML パーサーがパラメーターエンティティの拡張を実行する方法に、複数のサービス拒否の欠陥が検出されました。特別に細工された XML ドキュメントが、 REXML に過剰な量の CPU とメモリを使用させる可能性があります。（CVE-2014-8080、CVE-2014-8090）

CVE-2014-8090 の問題は、Red Hat 製品セキュリティにより発見されました。

ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするためには、 Ruby の実行中のインスタンスを全て再起動する必要があります。

Ruby REXML XML パーサーがパラメーターエンティティの拡張を実行する方法に、複数のサービス拒否の欠陥が検出されました。特別に細工された XML ドキュメントが、 REXML に過剰な量の CPU とメモリを使用させる可能性があります。（CVE-2014-8080、CVE-2014-8090）

この更新を有効にするためには、 Ruby の実行中のインスタンスを全て再起動する必要があります。

3 つのセキュリティの問題を修正する更新済みの ruby パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby は拡張可能なインタープリタ型の、オブジェクト指向スクリプト言語です。テキストファイルを処理する機能、およびシステム管理タスクを実行する機能があります。

Ruby REXML XML パーサーがパラメーターエンティティの拡張を実行する方法に、複数のサービス拒否の欠陥が検出されました。特別に細工された XML ドキュメントが、 REXML に過剰な量の CPU とメモリを使用させる可能性があります。（CVE-2014-8080、CVE-2014-8090）

Ruby Array pack() メソッドの実装に、スタックベースのバッファオーバーフローが見つかりました。base64 エンコーディングの実行時に、単一バイトがバッファの末尾を越えて書き込まれ、Ruby がクラッシュする可能性があります。（CVE-2014-4975）

CVE-2014-8090 の問題は、Red Hat 製品セキュリティにより発見されました。

ruby の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするためには、 Ruby の実行中のインスタンスを全て再起動する必要があります。

CVE-2014-4975

pack.c の encodes() 関数には、スタックベースのバッファオーバーフローにつながる可能性がある off-by-one エラーがありました。これにより、リモートの攻撃者が、サービス拒否（クラッシュ）を引き起こしたり、任意のコードを実行したりする可能性があります。

CVE-2014-8080、CVE-2014-8090

REXML パーサーは、大きな文字列オブジェクトを割り当てるように強制される可能性があります。これにより、システム上の利用可能なすべてのメモリが消費される可能性があります。これにより、リモートの攻撃者が、サービス拒否（クラッシュ）を引き起こす可能性があります。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201412-27 で説明されている脆弱性の影響を受けます（Ruby：サービス拒否）

Ruby に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

コンテキスト依存の攻撃者が、プロセスの権限による任意のコードの実行、サービス拒否状態、またはセキュリティ制限のバイパスを引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

The remote host is running a version of Mac OS X that is 10.6.8 or later but prior to 10.11 and is affected by multiple vulnerabilities in the following components : 

 - Address Book 
 - AirScan 
 - apache_mod_php 
 - Apple Online Store Kit 
 - AppleEvents 
 - Audio 
 - bash 
 - Certificate Trust Policy 
 - CFNetwork Cookies - CFNetwork FTPProtocol 
 - CFNetwork HTTPProtocol 
 - CFNetwork Proxies 
 - CFNetwork SSL 
 - CoreCrypto 
 - CoreText 
 - Dev Tools 
 - Disk Images 
 - dyld 
 - EFI 
 - Finder 
 - Game Center 
 - Heimdal 
 - ICU 
 - Install Framework Legacy 
 - Intel Graphics Driver 
 - IOAudioFamily 
 - IOGraphics 
 - IOHIDFamily 
 - IOStorageFamily 
 - Kernel 
 - libc 
 - libpthread 
 - libxpc 
 - Login Window 
 - lukemftpd 
 - Mail 
 - Multipeer Connectivity 
 - NetworkExtension 
 - Notes 
 - OpenSSH 
 - OpenSSL 
 - procmail 
 - remote_cmds 
 - removefile 
 - Ruby 
 - Safari 
 - Safari Downloads 
 - Safari Extensions 
 - Safari Safe Browsing 
 - Security 
 - SMB 
 - SQLite 
 - Telephony 
 - Terminal 
 - tidy 
 - Time Machine 
 - WebKit 
 - WebKit CSS 
 - WebKit JavaScript Bindings 
 - WebKit Page Loading 
 - WebKit Plug-ins

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
233187	RHEL 6 / 7：ruby193-ruby (RHSA-2014:1913)	Nessus	Red Hat Local Security Checks	2025/3/21	2025/3/21	high
79296	Amazon Linux AMI：ruby19 (ALAS-2014-447)	Nessus	Amazon Linux Local Security Checks	2014/11/18	2018/4/18	medium
79297	Amazon Linux AMI：ruby20 (ALAS-2014-448)	Nessus	Amazon Linux Local Security Checks	2014/11/18	2018/4/18	medium
79298	Amazon Linux AMI：ruby21 (ALAS-2014-449)	Nessus	Amazon Linux Local Security Checks	2014/11/18	2018/4/18	medium
79382	Ubuntu 14.04 LTS : Ruby の脆弱性 (USN-2412-1)	Nessus	Ubuntu Local Security Checks	2014/11/21	2024/8/27	high
79642	CentOS 6：ruby（CESA-2014:1911）	Nessus	CentOS Local Security Checks	2014/12/2	2021/1/4	medium
79657	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の ruby	Nessus	Scientific Linux Local Security Checks	2014/12/2	2021/1/14	medium
79643	CentOS 7：ruby（CESA-2014:1912）	Nessus	CentOS Local Security Checks	2014/12/2	2021/1/4	medium
82805	Debian DLA-200-1：ruby1.9.1 のセキュリティ更新	Nessus	Debian Local Security Checks	2015/4/16	2021/1/11	medium
79980	GLSA-201412-27：Ruby：サービス拒否	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	high
8982	Mac OS X < 10.11 Multiple Vulnerabilities	Nessus Network Monitor	Operating System Detection	2015/10/28	2019/3/6	critical

检测

插件搜索

high

medium

medium

medium

high

medium

medium

medium

medium

high

critical