2023-0723: Ruby: Zwei Schwachstellen ermöglichen Denial-of-Service-Angriffe

Historie:

Version 1 (2023-03-31 15:44): Neues Advisory
Version 2 (2023-04-13 09:37): Für Fedora 36 und 37 stehen Sicherheitsupdates in Form von 'ruby-3.1.4-175'-Paketen im Status 'testing' bereit, um die beiden Schwachstellen zu beheben.
Version 3 (2023-05-04 15:11): Canonical stellt für Ubuntu 20.04 LTS, Ubuntu 18.04 ESM und Ubuntu 16.04 ESM Sicherheitsupdates für 'ruby2.3', 'ruby2.5' und 'ruby2.7' bereit, um die Schwachstellen zu beheben.
Version 4 (2023-05-05 19:18): Mit USN-6055-1 wurde eine Regression eingeführt, weshalb der Patch zur Behebung der Schwachstelle CVE-2023-28755 zunächst zurückgenommen wird, solange die Untersuchung des Problems andauert.
Version 5 (2023-05-19 09:30): Canonical stellt für Ubuntu 20.04 LTS, Ubuntu 18.04 ESM und Ubuntu 16.04 ESM erneut Sicherheitsupdates für 'ruby2.7', 'ruby2.5' und 'ruby2.3' bereit, um die Schwachstellen zu beheben.
Version 6 (2023-06-08 09:51): Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'ruby2.5' in Version 2.5.5-3+deb10u5 bereit, um die beiden Schwachstellen zu beheben.

Betroffene Software

Entwicklung

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um verschiedene Regular-Expression-Denial-of-Service (ReDoS)-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Der Hersteller bestätigt die Schwachstellen und stellt die Versionen 2.7.8, 3.0.6, 3.1.4 und 3.2.2 zur Behebung bereit.

Schwachstellen:

CVE-2023-28755

Schwachstelle in Ruby ermöglicht Denial-of-Service-Angriff

CVE-2023-28756