远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:4487 公告中提及的多个漏洞影响。

    Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

    安全修复：

    * CGI：CGI::Util#escapeElement 中的 ReDoS (CVE-2025-27220)

    * CGI：CGI::Cookie.parse 中的拒绝服务（CVE-2025-27219）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2025-4487 公告中提及的多个漏洞影响。

    - 修复 CGI::Cookie.parse 中的拒绝服务。 (CVE-2025-27219) 解决 RHEL-86104
    - 修复 CGI::Util#escapeElement 中的 ReDoS。 (CVE-2025-27220) 解决 RHEL-86130

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2025-4063 公告中提及的多个漏洞影响。

    - 修复了 REXML 中的 DoS 漏洞。 (CVE-2024-39908) 解决 RHEL-57051
    - 修复了 REXML 中的 DoS 漏洞。 (CVE-2024-43398) 解决 RHEL-56002
    - 修复 REXML ReDoS 漏洞。 (CVE-2024-49761) 解决 RHEL-68520
    - 修复 CGI 中的 HTTP 响应拆分。
      已解决：CVE-2021-33621
    - 修复 URI 中的 ReDos 漏洞。
      已解决：CVE-2023-28755 已解决：CVE-2023-36617
    - 修复 Time 中的 ReDos 漏洞。
      已解决：CVE-2023-28756
    - 修复 RDoc 中的命令注入漏洞。 (CVE-2021-31799)
    - 修复了 FTP PASV 命令响应可能造成 Net::FTP 连接到任意主机的问题。
      (CVE-2021-31810)
    - 修复 Net::IMAP 中的 StartTLS 剥离漏洞 (CVE-2021-32066)
    - 通过从不同的来源安装的明确来源修复 gem 的依存关系。 (CVE-2020-36327)
    - 修复 CVE-2013-4073。
    - 修复 DL 和 Fiddle 中受感染的绕过 (CVE-2013-2065)。
    - 修复 MurmurHash 函数中的哈希泛洪 DoS 漏洞 (CVE-2012-5371)
    - 在传递包含 NUL 的路径名称时不创建文件缺陷 865940 CVE-2012-4522
    - 来自 CVE-2012-4464、 CVE-2012-4466的中继的修补程序
    - 进程启动时随机化哈希CVE-2011-4815，缺陷 750564
    - CVE-2011-2686 已修复此版本 缺陷 722415
    - CVE-2010-0541 缺陷 587731已在此版本中修复
    - CVE-2009-4492 ruby WEBrick 日志转义序列缺陷 554485
    - 新的修补程序级修复 CVE-2009-1904
    - 修复 CVE-2008-3790 中的回归 (#485383)
    - CVE-2008-5189CGI 标头注入。
    - CVE-2008-3790REXML 模块中的 DoS 漏洞。
    - 安全补丁。
      - CVE-2008-3655Ruby 未在各种安全级别正确限制对关键变量和方法的访问。
      - CVE-2008-3656WEBrick 中的 DoS 漏洞。
      - CVE-2008-3657dl 中缺少感染检查。
      - CVE-2008-1447：resolv.rb 中的 DNS 欺骗漏洞。
      - CVE-2008-3443Ruby regex 引擎中的内存分配失败。
    - 安全补丁。 (#452295)
      - CVE-2008-1891：WEBrick CGI 来源泄露。
      - CVE-2008-2662rb_str_buf_append() 中存在整数溢出。
      - CVE-2008-2663rb_ary_store() 中存在整数溢出。
      - CVE-2008-2664rb_str_format() 中不安全使用 alloca。
      - CVE-2008-2725rb_ary_splice() 中存在整数溢出。
      - CVE-2008-2726rb_ary_splice() 中存在整数溢出。
    - ruby-1.8.6.111-CVE-2007-5162.patch：已删除。
    - 针对 CVE-2008-1145 的安全修复。
    - ruby-1.8.6.111-CVE-2007-5162.patch通过主干处的向后移植更改的更新位从而无需对用户的脚本进行任何修改即可启用修复。
       请注意，Net::HTTP#enable_post_connection_check 不再可用。
       如果要禁用此后检查应将 OpenSSL::SSL::VERIFY_NONE 指定给 Net::HTTP#verify_mode= 而不是。
    - ruby-1.8.6-CVE-2007-5162.patch针对 Net::HTTP 的安全补丁即 SSL 证书验证不充分。
    - ruby-1.8.5-cgi-CVE-2006-5467.patch修复导致拒绝服务的 CGI 多部分解析缺陷。 (#212396)
    - 安全补丁 [CVE-2006-3694]
      - ruby-1.8.4-fix-insecure-dir-operation.patch：
      - ruby-1.8.4-fix-insecure-regexp-modification.patch修复了某些安全级别限制中的不安全操作。 (#199538)
      - ruby-1.8.4-fix-alias-safe-level.patch已修复无法绕过某些安全级别限制。 (#199543)

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS/18.04 LTS 主机上安装的程序包受到 USN-7442-1 公告中提及的多个漏洞的影响。

    发现 Ruby CGI gem 未能正确解析某些 Cookie。远程攻击者可能利用此问题消耗资源，从而导致拒绝服务。(CVE-2025-27219)

    发现 Ruby CGI gem 未能正确解析某些正则表达式。远程攻击者可能利用此问题消耗资源，从而导致拒绝服务。
    (CVE-2025-27220)

    发现 Ruby URI gem 未能正确处理某些 URI 的处理方式。远程攻击者可能利用此问题泄露身份验证凭据。(CVE-2025-27221)

    发现 Ruby REXML gem 未能正确处理 XML 文档的解析，该文档在十六进制数字字符引用中包含许多数字。远程攻击者可能利用此问题消耗资源，从而导致拒绝服务。(CVE-2024-49761)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 ruby 版本低于 测试的版本。因此，该程序受到 CVE-2025-27220 公告中提及的一个漏洞影响。

  - 在用于 Ruby 的 0.4.2 之前的 CGI gem 中Util#escapeElement 方法中存在正则表达式拒绝服务 (ReDoS) 漏洞。 (CVE-2025-27220)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上存在安装的程序包该程序包受到 ALSA-2025:4488 公告中提及的多个漏洞的影响。

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-39908)
      * rexml：rubygem-rexml：解析具有许多特定字符（例如空白字符、 >] 和 ]>）的 XML 时会发生 DoS (CVE-2024-41123)
      * rexml：REXML 中的 DoS 漏洞 (CVE-2024-41946)
      * rexml：REXML 中的 DoS 漏洞 (CVE-2024-43398)
      * CGI：CGI::Util#escapeElement 中的 ReDoS (CVE-2025-27220)
      * CGI：CGI::Cookie.parse 中的拒绝服务（CVE-2025-27219）
      * uriURI#join、URI#merge 和 URI#+ 中的用户信息泄漏 (CVE-2025-27221)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:4063 公告中提及的多个漏洞的影响。

    Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

    安全修复：

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-39908)

    * rexml：rubygem-rexml：解析具有许多特定字符（例如空白字符、 >] 和 ]>）的 XML 时会发生 DoS (CVE-2024-41123)

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-41946)

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-43398)

    * CGICGI::Util#escapeElement 中的 ReDoS (CVE-2025-27220)

    * CGICGI::Cookie.parse 中的拒绝服务 (CVE-2025-27219)

    * uriURI#join、URI#merge 和 URI#+ 中的用户信息泄漏 (CVE-2025-27221)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-929 公告中提及的多个漏洞影响。

    Net::IMAP 使用 Ruby 实现 Internet 消息访问协议 (IMAP) 客户端功能。从版本 0.3.2 开始，到版本 0.3.8、 0.4.19和 0.5.6之前的版本，“net-imap”的响应解析器中可能存在因内存耗尽而拒绝服务。只要连接客户端，恶意服务器便可随时发送高度压缩的、由客户端的接收器线程自动读取的“uid-set”数据。响应解析器使用“Range#to_a”将“uid-set”数据转换为整数数组，对范围的扩展大小没有限制。版本 0.3.8、 0.4.19、 0.5.6及更高版本修复此问题。有关正确配置已修复版本和向后兼容性的其他详细信息，请参阅 GitHub 安全公告。 (CVE-2025-25186)

    在 Ruby 0.4.2 之前的 CGI gem 中，CGI 库中的 CGI::Cookie.parse 方法包含一个潜在的拒绝服务 (DoS) 漏洞。该方法不会对其处理的原始 Cookie 值的长度施加任何限制。此疏忽会在解析极大的 cookie 时导致资源消耗过多。 (CVE-2025-27219)

    在低于 0.4.2 的 Ruby CGI gem 中，Util#escapeElement 方法中存在一个正则表达式拒绝服务 (ReDoS) 漏洞。 (CVE-2025-27220)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4082 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4082-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2025 年 3 月 10 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：ruby2.7 版本：2.7.4-1+deb11u5 CVE ID：CVE-2025-27219 CVE-2025-27220 CVE-2025-27221

    热门语言 Ruby 受到多个漏洞影响

    CVE-2025-27219

        在 CGI gem 中，CGI 库中的 CGI::Cookie.parse 方法包含一个潜在的拒绝服务 (DoS) 漏洞。
        该方法不会对其处理的原始 Cookie 值的长度施加任何限制。此疏忽会导致在解析极大 Cookie 时发生过多资源消耗

    CVE-2025-27220

        在 CGI gem 中，Util#escapeElement 方法中存在正则表达式拒绝服务 (ReDoS) 漏洞。

    CVE-2025-27221

        在 URI gem 中，URI 处理方法（URI.join、URI#merge、URI#+）会无意泄漏身份验证凭据，因为 userinfo 即使在更改主机之后也会保留。

    对于 Debian 11 bullseye，已在 2.7.4-1+deb11u5 版本中修复这些问题。

    我们建议您升级 ruby2.7 程序包。

    如需了解 ruby2.7 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/ruby2.7

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 主机上安装的程序包受到 USN-7418-1 公告中提及的多个漏洞影响。

    发现 Ruby 未能正确处理 XML 文档的解析，该文档在使用 REXML gem 的属性值中包含特定 XML 字符。攻击者可利用此问题造成 Ruby 崩溃，从而导致拒绝服务。此问题仅影响 Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 24.10。（CVE-2024-35176、CVE-2024-39908、CVE-2024-41123、CVE-2024-43398）

    发现 Ruby 未能正确处理 net-imap 响应解析器中的扩展范围。如果用户或自动化系统受到诱骗连接到恶意 IMAP 服务器，远程攻击者可利用此问题消耗内存，造成拒绝服务。此问题仅影响 Ubuntu 24.04 LTS 和 Ubuntu 24.10。(CVE-2025-25186)

    发现 Ruby CGI gem 未能正确解析某些 Cookie。远程攻击者可能利用此问题消耗资源，从而导致拒绝服务。(CVE-2025-27219)

    发现 Ruby CGI gem 未能正确解析某些正则表达式。远程攻击者可能利用此问题消耗资源，从而导致拒绝服务。
    (CVE-2025-27220)

    发现 Ruby URI gem 未能正确处理某些 URI 的处理方式。远程攻击者可能利用此问题泄露身份验证凭据。(CVE-2025-27221)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:4488 公告中提及的多个漏洞影响。

    Ruby 是一种可扩展的直译式面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。

    安全修复：

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-39908)

    * rexml：rubygem-rexml：解析具有许多特定字符（例如空白字符、 >] 和 ]>）的 XML 时会发生 DoS (CVE-2024-41123)

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-41946)

    * rexml：REXML 中的 DoS 漏洞 (CVE-2024-43398)

    * CGICGI::Util#escapeElement 中的 ReDoS (CVE-2025-27220)

    * CGICGI::Cookie.parse 中的拒绝服务 (CVE-2025-27219)

    * uriURI#join、URI#merge 和 URI#+ 中的用户信息泄漏 (CVE-2025-27221)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2025-4488 公告中提及的多个漏洞影响。

    ruby [3.1.7-146]
    - 升级到 Ruby 3.1.7。
      已解决：RHEL-55410
    - 修复了 REXML 中的 DoS 漏洞。 (CVE-2024-39908) 解决 RHEL-86077

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Ruby 0.4.2 之前的 CGI gem 中，Util#escapeElement 方法中存在一个正则表达式拒绝服务 (ReDoS) 漏洞。 (CVE-2025-27220)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
235343	RHEL 9：ruby (RHSA-2025:4487)	Nessus	Red Hat Local Security Checks	2025/5/6	2025/6/5	medium
235605	Oracle Linux 9：ruby (ELSA-2025-4487)	Nessus	Oracle Linux Local Security Checks	2025/5/8	2025/5/8	medium
234723	Oracle Linux 8：ruby:3.1 (ELSA-2025-4063)	Nessus	Oracle Linux Local Security Checks	2025/4/22	2025/4/22	high
234686	Ubuntu 16.04 LTS / 18.04 LTS：Ruby 漏洞 (USN-7442-1)	Nessus	Ubuntu Local Security Checks	2025/4/21	2025/4/21	high
234638	Azure Linux 3.0 安全更新ruby (CVE-2025-27220)	Nessus	Azure Linux Local Security Checks	2025/4/20	2025/4/20	medium
235611	AlmaLinux 9 : ruby:3.1 (ALSA-2025:4488)	Nessus	Alma Linux Local Security Checks	2025/5/8	2025/5/8	high
234769	RHEL 8：ruby:3.1 (RHSA-2025:4063)	Nessus	Red Hat Local Security Checks	2025/4/23	2025/6/5	high
234332	Amazon Linux 2023：ruby3.2、ruby3.2-bundled-gems、ruby3.2-default-gems (ALAS2023-2025-929)	Nessus	Amazon Linux Local Security Checks	2025/4/14	2025/4/14	medium
232556	Debian dla-4082：libruby2.7 - 安全更新	Nessus	Debian Local Security Checks	2025/3/10	2025/3/10	medium
233968	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10：Ruby 漏洞 (USN-7418-1)	Nessus	Ubuntu Local Security Checks	2025/4/7	2025/4/7	medium
235165	RHEL 9：ruby：3.1 (RHSA-2025:4488)	Nessus	Red Hat Local Security Checks	2025/5/6	2025/6/5	high
235375	Oracle Linux 9：ruby:3.1 (ELSA-2025-4488)	Nessus	Oracle Linux Local Security Checks	2025/5/6	2025/5/6	high
232149	Linux Distros 未修补的漏洞: CVE-2025-27220	Nessus	Misc.	2025/3/6	2025/3/6	high

检测

插件搜索

medium

medium

high

high

medium

high

high

medium

medium

medium

high

high

high