2018-0572: Ruby: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-03-26 17:57): Neues Advisory

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux

Beschreibung:

Mehrere Schwachstellen in Ruby, RubyGems und verschiedenen Gems ermöglichen einem entfernten, nicht authentisierten Angreifer die Ausführung beliebigen Programmcodes, verschiedene Denial-of-Service-Angriffe, das Umgehen von Sicherheitsvorkehrungen, die Manipulation von Daten und die Darstellung falscher Informationen. Ein lokaler, nicht authentisierter Angreifer kann eine weitere Schwachstelle ausnutzen, um Informationen auszuspähen.

Red Hat stellt für Red Hat Software Collections 1 Sicherheitsupdates für 'rh-ruby22-ruby', 'rh-ruby23-ruby' und 'rh-ruby24-ruby' bereit, um die Schwachstellen zu beheben. Die Sicherheitsupdates stehen für Red Hat Software Collections für Red Hat Enterprise Linux 6, 6.7, 7, 7.3 und 7.4 zur Verfügung, das Sicherheitsupdate für 'rh-ruby24-ruby' adressiert dabei nur CVE-2017-17405 und CVE-2017-17790. Mit den Updates wird Ruby auf die jeweils aktuellen Versionen 2.2.9, 2.3.6 und 2.4.3 der einzelnen Versionszweige aktualisiert und es werden aktuelle Versionen von RubyGems und für einzelne Gems zur Verfügung gestellt.

Schwachstellen:

CVE-2009-5147

Schwachstelle in Ruby ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2015-7551

Schwachstelle in Ruby ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2017-0898

Schwachstelle in Ruby ermöglicht u.a. Denial-of-Service-Angriff

CVE-2017-0899

Schwachstelle in RubyGems ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-0900

Schwachstelle in RubyGems ermöglicht Denial-of-Service-Angriff

CVE-2017-0901

Schwachstelle in RubyGems ermöglicht Manipulation von Dateien

CVE-2017-0902

Schwachstelle in RubyGems ermöglicht Darstellung falscher Informationen

CVE-2017-0903

Schwachstelle in RubyGems ermöglicht Ausführen beliebigen Programmcodes

CVE-2017-10784

Schwachstelle in Ruby ermöglicht Ausführung beliebiger Befehle

CVE-2017-14033

Schwachstelle in Ruby ermöglicht Denial-of-Service-Angriff

CVE-2017-14064

Schwachstelle in Ruby ermöglicht Ausspähen von Informationen

CVE-2017-17405

Schwachstelle in Ruby ermöglicht Ausführung beliebigen Programmcodes

CVE-2017-17790