更新后的 ruby 程序包修复了安全漏洞：

Will Wood 发现 Ruby 未正确处理 encodes() 函数。攻击者可能利用此问题致使 Ruby 崩溃，从而导致拒绝服务或可能执行任意代码。受影响版本的默认编译器选项可减少拒绝服务漏洞 (CVE-2014-4975)。

由于对 CVE-2014-8080 的修复不完整，空字符串的递归扩展可能会导致 100% 的 CPU 使用率。当读取 XML 文档的文本节点时，Ruby 中的 REXML 解析器可能被迫分配极大的字符串对象，这样会消耗计算机上的所有内存，从而造成拒绝服务 (CVE-2014-8090)。

此外，Ruby 也已升级到修补程序级别 374。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2014-1913 公告中提及的多个漏洞的影响。

  - 在 1.9.3-p550 之前的 Ruby 1.9.x、2.0.0-p594 之前的 Ruby 2.0.x 和 2.1.4 之前的 Ruby 2.1.x 中，REXML 解析器使远程攻击者可通过构建的 XML 文档（也称为 XML 实体扩展 (XEE) 攻击）造成拒绝服务（内存消耗）。(CVE-2014-8080)

  - 在 1.9.3 patchlevel 551 之前的 Ruby 1.9.x、2.0.0 patchlevel 598 之前的 Ruby 2.0.x 和 2.1.5 之前的 Ruby 2.1.x 中，REXML 解析器使远程攻击者通过特别构建的 XML 文档（其中用于大量嵌套实体引用的实体中包含空字符串）造成拒绝服务（CPU 和内存消耗），也称为 XML 实体扩展 (XEE) 攻击。注意：存在此漏洞的原因是针对 CVE-2013-1821 和 CVE-2014-8080 的补丁不完整。(CVE-2014-8090)

  - 使用某些格式字符串说明符时，1.9.3 和更早版本的 Ruby 以及 2.x 到 2.1.2 的 Ruby 中的 pack.c 中的 encode 函数存在差一错误，允许上下文相关的攻击者通过触发基于堆栈的缓冲区溢出的向量造成拒绝服务（分段错误）。(CVE-2014-4975)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

CVE-2014-4975

pack.c 中的 encodes() 函数存在差一错误，可导致基于堆栈的缓冲区溢出。这可能允许远程攻击者造成拒绝服务（崩溃）或执行任意代码。

CVE-2014-8080、CVE-2014-8090

REXML 解析器可能被迫分配极大的字符串对象，这样会消耗系统中的所有可用内存。这可能允许远程攻击者造成拒绝服务（崩溃）。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 ruby 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

在 Ruby REXML XML 解析器执行参数实体扩展的方式中发现多个拒绝服务缺陷。特别构建的 XML 文档可导致 REXML 过度消耗 CPU 和内存。（CVE-2014-8080、CVE-2014-8090）

在 Ruby 阵列 pack() 方法的实现中发现基于堆栈的缓冲区溢出。执行 base64 编码时，可将单个字节写入缓冲区的末尾之外，这样可能导致 Ruby 崩溃。(CVE-2014-4975)

CVE-2014-8090 问题由 Red Hat 产品安全团队发现。

建议所有的 Ruby 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。所有正在运行的 Ruby 实例都需要重新启动才能使此更新生效。

更新后的 ruby 程序包修复了安全漏洞：

由于不受限制的实体扩展，当读取 XML 文档的文本节点时，Ruby 中的 REXML 解析器可能被迫分配极大的字符串对象，这样会消耗计算机上的所有内存，从而造成拒绝服务 (CVE-2014-8080)。

Will Wood 发现 Ruby 未正确处理 encodes() 函数。攻击者可能利用此问题致使 Ruby 崩溃，从而导致拒绝服务或可能执行任意代码。受影响版本的默认编译器选项可减少拒绝服务漏洞 (CVE-2014-4975)。

由于对 CVE-2014-8080 的修复不完整，空字符串的递归扩展可能会导致 100% 的 CPU 使用率。当读取 XML 文档的文本节点时，Ruby 中的 REXML 解析器可能被迫分配极大的字符串对象，这样会消耗计算机上的所有内存，从而造成拒绝服务 (CVE-2014-8090)。

更新到 Ruby 2.1.4。仅包含供应商目录，不包含其内容 (rhbz#1114071)。修复非 rubygem 程序包的“无效的 regex”警告 (rhbz#1154067)。使用 RPM 4.12 中引入的加载宏。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2397-1 公告中提及的多个漏洞影响。

    Will Wood 发现 Ruby 未正确处理 encodes() 函数。攻击者可能利用此问题致使 Ruby 崩溃，从而导致拒绝服务或可能执行任意代码。
    受影响版本的默认编译器选项应减少拒绝服务攻击漏洞。
    (CVE-2014-4975)

    Willis Vandevanter 发现 Ruby 未正确处理 XML 实体扩展。攻击者可利用此缺陷导致 Ruby 消耗大量资源，从而导致拒绝服务。
    (CVE-2014-8080)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2014:1912：

更新后的 ruby 程序包修复了三个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

在 Ruby REXML XML 解析器执行参数实体扩展的方式中发现多个拒绝服务缺陷。特别构建的 XML 文档可导致 REXML 过度消耗 CPU 和内存。（CVE-2014-8080、CVE-2014-8090）

在 Ruby 阵列 pack() 方法的实现中发现基于堆栈的缓冲区溢出。执行 base64 编码时，可将单个字节写入缓冲区的末尾之外，这样可能导致 Ruby 崩溃。(CVE-2014-4975)

CVE-2014-8090 问题由 Red Hat 产品安全团队发现。

建议所有的 Ruby 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。所有正在运行的 Ruby 实例都需要重新启动才能使此更新生效。

在 Ruby REXML XML 解析器执行参数实体扩展的方式中发现多个拒绝服务缺陷。特别构建的 XML 文档可导致 REXML 过度消耗 CPU 和内存。（CVE-2014-8080、CVE-2014-8090）

在 Ruby 阵列 pack() 方法的实现中发现基于堆栈的缓冲区溢出。执行 base64 编码时，可将单个字节写入缓冲区的末尾之外，这样可能导致 Ruby 崩溃。(CVE-2014-4975)

所有正在运行的 Ruby 实例都需要重新启动才能使此更新生效。

已在 Ruby 语言的解释器中发现多种漏洞：

- CVE-2014-4975 pack.c 中的 encodes() 函数存在差一错误，可导致基于堆栈的缓冲区溢出。这可能允许远程攻击者造成拒绝服务（崩溃）或执行任意代码。

- CVE-2014-8080，CVE-2014-8090 REXML 解析器可被强制分配大字符串对象，这可消耗系统上的所有可用内存。这可能允许远程攻击者造成拒绝服务（崩溃）。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2014:1913 公告中提及的多个漏洞的影响。

    Ruby 是一种可扩展的直译式面向对象的脚本语言。
    它具有处理文本文件和执行系统管理任务的功能。

    在 Ruby REXML XML 解析器执行参数实体扩展的方式中发现多个拒绝服务缺陷。特别构建的 XML 文档可导致 REXML 过度消耗 CPU 和内存。
    （CVE-2014-8080、CVE-2014-8090）

    在 Ruby 阵列 pack() 方法的实现中发现基于堆栈的缓冲区溢出。执行 base64 编码时，可将单个字节写入缓冲区的末尾之外，这样可能导致 Ruby 崩溃。
    (CVE-2014-4975)

    CVE-2014-8090 问题由 Red Hat 产品安全团队发现。

    建议所有 ruby193-ruby 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。所有正在运行的 Ruby 实例都需要重新启动才能使此更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79571	Mandriva Linux 安全公告：ruby (MDVSA-2014:225)	Nessus	Mandriva Local Security Checks	2014/11/26	2021/1/6	medium
181041	Oracle Linux 6：ruby193-ruby (ELSA-2014-1913)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
82805	Debian DLA-200-1：ruby1.9.1 安全更新	Nessus	Debian Local Security Checks	2015/4/16	2021/1/11	medium
79643	CentOS 7：ruby (CESA-2014:1912)	Nessus	CentOS Local Security Checks	2014/12/2	2021/1/4	medium
82382	Mandriva Linux 安全公告：ruby (MDVSA-2015:129)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
79596	RHEL 7：ruby (RHSA-2014:1912)	Nessus	Red Hat Local Security Checks	2014/11/27	2024/11/4	high
79092	Fedora 21：ruby-2.1.4-24.fc21 (2014-14096)	Nessus	Fedora Local Security Checks	2014/11/11	2021/1/11	medium
78869	Ubuntu 14.04 LTS：Ruby 漏洞 (USN-2397-1)	Nessus	Ubuntu Local Security Checks	2014/11/5	2024/8/27	high
79594	Oracle Linux 7：ruby (ELSA-2014-1912)	Nessus	Oracle Linux Local Security Checks	2014/11/27	2024/11/1	high
79658	Scientific Linux 安全更新：SL7.x x86_64 中的 ruby	Nessus	Scientific Linux Local Security Checks	2014/12/2	2021/1/14	medium
81250	Debian DSA-3157-1：ruby1.9.1 - 安全更新	Nessus	Debian Local Security Checks	2015/2/10	2021/1/11	medium
233187	RHEL 6 / 7：ruby193-ruby (RHSA-2014:1913)	Nessus	Red Hat Local Security Checks	2025/3/21	2025/3/21	high

检测

插件搜索

medium

high

medium

medium

medium

high

medium

high

high

medium

medium

high