DSA-3966-1 ruby2.3 -- обновление безопасности

Средняя (5.0)

(AV:N/AC:L/Au:N/C:P/I:N/A:N)

Debian

libruby2.3 (any) ruby2.3 (any) ruby2.3-dev (any) ruby2.3-doc (any) ruby2.3-tcltk (any)

В интерпретаторе для языка программирования Ruby были обнаружены многочисленные
уязвимости:

CVE-2015-9096
    Инъекция команд SMTP в Net::SMTP.
CVE-2016-7798
    Некорректная обработка вектора инициализации в режиме GCM в
    расширении OpenSSL.
CVE-2017-0900
    Отказ в обслуживании в клиенте RubyGems.
CVE-2017-0901
    Потенциальная перезапись файлов в клиенте RubyGems.
CVE-2017-0902
    Перехват DNS в клиенте RubyGems.
CVE-2017-14064
    Раскрытие содержимого динамической памяти в библиотеке JSON.

В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 2.3.3-1+deb9u1. В данном обновлении улучшена безопасность RubyGems по отношению
к вредоносным экранирующим последовательностям (CVE-2017-0899).
Рекомендуется обновить пакет ruby2.3.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
libruby2.3 - 2.3.3-1+deb9u1
ruby2.3 - 2.3.3-1+deb9u1
ruby2.3-dev - 2.3.3-1+deb9u1
ruby2.3-doc - 2.3.3-1+deb9u1
ruby2.3-tcltk - 2.3.3-1+deb9u1

http://www.debian.org/security/dsa-3966/

Источник: CVE
Наименование: CVE-2017-0900
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0900

Источник: CVE
Наименование: CVE-2017-0901
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0901

Источник: CVE
Наименование: CVE-2017-0902
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0902

Источник: CVE
Наименование: CVE-2017-14064
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-14064

Источник: CVE
Наименование: CVE-2015-9096
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-9096

Источник: CVE
Наименование: CVE-2017-0899
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0899

Источник: CVE
Наименование: CVE-2016-7798
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-7798