Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
(AV:N/AC:M/Au:N/C:P/I:P/A:P)
Производитель ПО
Наименование ПО
ruby1.8
(any)
Описание
В интерпретаторе языка Ruby были обнаружены
несколько уязвимостей. Проект Common Vulnerabilities and Exposures
определяет следующие проблемы:
CVE-2013-1821
Бен Мёрфи обнаружил, что неограниченное расширение сущности в REXML, потребляя всю память,
может приводить к отказу в обслуживании.
CVE-2013-4073
Уильям (B.J.) Сноу Орвис обнаружил уязвимость при проверке имени узла
в Ruby клиенте SSL, которая может позволить атакующему человеку-в-середине
обмануть серверы SSL с помощью специально сформированного сертификата, выпущенного
доверенным источником сертификатов.
CVE-2013-4164
Чарли Сомервиль обнаружил, что Ruby некорректно обрабатывает преобразование
чисел с плавающей точкой. Если приложение, использующее Ruby, принимает недоверенные
вводные строки и преобразует их в числа с плавающей точкой,
атакующий может предоставить такой ввод, который может вызвать
аварийное завершение приложения или возможный вызов произвольного кода с
привилегиями приложения.
В предыдущем стабильном выпуске (squeeze) эти проблемы исправлены в
версии 1.8.7.302-2squeeze2.
В стабильном выпуске (wheezy) эти проблемы исправлены в
версии 1.8.7.358-7.1+deb7u1.
В нестабильном выпуске (sid) эти проблемы исправлены в
версии 1.8.7.358-9.
Мы рекомендуем вам обновить ваши пакеты ruby1.8.
несколько уязвимостей. Проект Common Vulnerabilities and Exposures
определяет следующие проблемы:
CVE-2013-1821
Бен Мёрфи обнаружил, что неограниченное расширение сущности в REXML, потребляя всю память,
может приводить к отказу в обслуживании.
CVE-2013-4073
Уильям (B.J.) Сноу Орвис обнаружил уязвимость при проверке имени узла
в Ruby клиенте SSL, которая может позволить атакующему человеку-в-середине
обмануть серверы SSL с помощью специально сформированного сертификата, выпущенного
доверенным источником сертификатов.
CVE-2013-4164
Чарли Сомервиль обнаружил, что Ruby некорректно обрабатывает преобразование
чисел с плавающей точкой. Если приложение, использующее Ruby, принимает недоверенные
вводные строки и преобразует их в числа с плавающей точкой,
атакующий может предоставить такой ввод, который может вызвать
аварийное завершение приложения или возможный вызов произвольного кода с
привилегиями приложения.
В предыдущем стабильном выпуске (squeeze) эти проблемы исправлены в
версии 1.8.7.302-2squeeze2.
В стабильном выпуске (wheezy) эти проблемы исправлены в
версии 1.8.7.358-7.1+deb7u1.
В нестабильном выпуске (sid) эти проблемы исправлены в
версии 1.8.7.358-9.
Мы рекомендуем вам обновить ваши пакеты ruby1.8.
Как исправить
Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
ruby1.8 - 1.8.7.302-2squeeze2
Debian GNU/Linux 7:
noarch:
ruby1.8 - 1.8.7.358-7.1+deb7u1
Debian GNU/Linux 6:
noarch:
ruby1.8 - 1.8.7.302-2squeeze2
Debian GNU/Linux 7:
noarch:
ruby1.8 - 1.8.7.358-7.1+deb7u1
Ссылки
http://www.debian.org/security/dsa-2809/
Источник: CVE
Наименование: CVE-2013-4164
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4164
Источник: CVE
Наименование: CVE-2013-1821
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1821
Источник: CVE
Наименование: CVE-2013-4073
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4073
Источник: CVE
Наименование: CVE-2013-4164
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4164
Источник: CVE
Наименование: CVE-2013-1821
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1821
Источник: CVE
Наименование: CVE-2013-4073
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-4073
