Avis du CERT-FR
Objet : Multiples vulnérabilités dans Ruby
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service à distance
- Exécution de code arbitraire
- Élévation de privilèges
Systèmes affectés
- Ruby 1.8.6 pour les versions antérieures à 1.8.6-p287 ;
- Ruby 1.8.7 pour les versions antérieures à 1.8.7-p72 ;
- Ruby 1.9 pour la version r18423 ainsi que celles antérieures.
Résumé
Plusieurs vulnérabilités ont été identifiées dans Ruby. Les conséquences de l'exploitation de ces dernières sont variées.
Description
Plusieurs vulnérabilités ont été identifiées dans Ruby :
- certaines concernent les niveaux de sûreté dans Ruby, dont des méthodes comme untrace_var() qui ne devraient pas être autorisées à certains niveaux ou la variable $PROGRAM_NAME modifiable au niveau 4 ;
- une mauvaise manipulation des en-têtes HTTP par WEBrick, et en particulier dans la fonction WEBrick::HTTPUtils.split_header_value() ;
- un mauvais contrôle des appels de fonctions par la bibliothèque DL (dynamic linker).
- une mauvaise génération d'aléas par resolv.rb pour les échanges DNS concernant les identifiants de transactions ou le choix des ports sources.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Annonce des changements pour la branche 1.8 de Ruby :
http://www.ruby-lang.org/en/news/2008/08/11/ruby-1-8-7-p72-and-1-8-6-p287-released/ -
Annonce des vulnérabilités Ruby publiée le 08 et le 11 août 2008 :
http://www.ruby-lang.org/en/news/2008/08/08/multiples-vulnerabilities-in-ruby/ -
Référence CVE CVE-2008-1447
https://www.cve.org/CVERecord?id=CVE-2008-1447
Gestion détaillée du document
| Date | Description |
|---|---|
| 12 août 2008 | version initiale. |