2018-1160: Ruby, RubyGems: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-06-14 19:01)

Neues Advisory

Version 2 (2021-03-26 09:32)

Mit USN-3685-1 wurde bei der Behebung der Schwachstelle CVE-2017-0903 eine Regression eingeführt, welche nun behoben wird.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Mehrere Schwachstellen in Ruby, RubyGems und verschiedenen Gems ermöglichen einem Angreifer aus der Ferne die Ausführung beliebigen Programmcodes, verschiedene Denial-of-Service (DoS)-Angriffe, das Umgehen von Sicherheitsvorkehrungen, die Manipulation von Daten und das Darstellen falscher Informationen. Zudem kann ein Angreifer zwei weitere Schwachstellen lokal ausnutzen, um Informationen auszuspähen oder ebenfalls beliebigen Programmcode auszuführen. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.

Canonical stellt für Ubuntu 17.10, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS Sicherheitsupdates für ruby1.9.1, ruby2.0 und ruby2.3 zur Verfügung. Teile dieses Advisories überschneiden sich mit den älteren Sicherheitshinweisen USN-3439-1, USN-3553-1 und USN-3528-1.

Schwachstellen:

CVE-2017-0898

Schwachstelle in Ruby ermöglicht u.a. Denial-of-Service-Angriff

CVE-2017-0901

Schwachstelle in RubyGems ermöglicht Manipulation von Dateien

CVE-2017-0902

Schwachstelle in RubyGems ermöglicht Darstellung falscher Informationen

CVE-2017-0903

Schwachstelle in RubyGems ermöglicht Ausführen beliebigen Programmcodes

CVE-2017-10784

Schwachstelle in Ruby ermöglicht Ausführung beliebiger Befehle

CVE-2017-14064

Schwachstelle in Ruby ermöglicht Ausspähen von Informationen

CVE-2017-17742

Schwachstelle in Ruby ermöglicht Darstellen falscher Informationen

CVE-2018-1000074

Schwachstelle in Ruby ermöglicht Ausführen beliebigen Programmcodes

CVE-2018-8777

Schwachstelle in Ruby ermöglicht Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.