2019-2489: Ruby: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2019-11-26 19:02): Neues Advisory
Version 2 (2019-11-27 09:36): Canonical stellt für Ubuntu 19.10, 19.04, 18.04 LTS und 16.04 LTS Sicherheitsupdates für Ruby zur Behebung der Schwachstellen zur Verfügung.
Version 3 (2019-12-10 15:53): Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate für Ruby auf Version 1.5.6-9+deb8u2 bereit, um die Schwachstellen zu beheben.
Version 4 (2019-12-17 18:02): Für Debian 9 (Stretch) und 10 (Buster) stehen Sicherheitsupdates für Ruby auf die Versionen 2.3.3-1+deb9u7 und 2.5.5-3+deb10u1 bereit, um die Schwachstellen zu beheben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Linux

Beschreibung:

Zwei Schwachstellen in Ruby ermöglichen einem lokalen, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes. Eine weitere Schwachstelle kann von einem entfernten, einfach authentisierten Angreifer ausgenutzt werden, um einen Denial-of-Service (DoS)-Zustand herbeizuführen. Ein entfernter, nicht authentisierter Angreifer kann außerdem falsche Informationen darstellen.

Für Debian 8 Jessie (LTS) steht ein Sicherheitsupdate für Ruby auf Version 2.1.5-2+deb8u8 bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2019-15845

Schwachstelle in Ruby ermöglicht Ausführen beliebigen Programmcodes

CVE-2019-16201

Schwachstelle in Ruby ermöglicht Denial-of-Service-Angriff

CVE-2019-16254

Schwachstelle in Ruby ermöglicht Darstellen falscher Informationen

CVE-2019-16255