Ruby存在安全绕过和拒绝服务漏洞

BUGTRAQ ID: 30644 CNCAN ID：CNCAN-2008081415 Ruby是一种功能强大的面向对象的脚本语言。 Ruby的1.8.6-p287或1.8.7-p72之前版本存在多个安全漏洞，远程攻击者可以利用漏洞绕过某些安全限制、造成拒绝服务或执行欺骗攻击。 1) 安全等级限制实现中存在多个错误，可导致在第4安全层调用untrace_var()、执行syslog操作、修改$PROGRAM_NAME，或在1到3层调用不安全的方法。 2) WEBrick::HTTPUtils.split_header_value()中错误使用正则表达式，远程攻击者可以通过构建特殊的HTTP请求消耗大量CPU资源。 3) DL中存在错误可导致绕过安全限制，调用危险的函数。 4) resolv.rb没有充分的随机化DNS查询端口号，可能导致DNS缓存&quot;中毒&quot;。 Yukihiro Matsumoto Ruby 1.9 -2 Yukihiro Matsumoto Ruby 1.9 -1 Yukihiro Matsumoto Ruby 1.9 Yukihiro Matsumoto Ruby 1.8.7 p71 Yukihiro Matsumoto Ruby 1.8.7 -p22 Yukihiro Matsumoto Ruby 1.8.7 -p21 Yukihiro Matsumoto Ruby 1.8.7 Yukihiro Matsumoto Ruby 1.8.6 p286 Yukihiro Matsumoto Ruby 1.8.6 -p230 Yukihiro Matsumoto Ruby 1.8.6 -p229 Yukihiro Matsumoto Ruby 1.8.6 -p114 Yukihiro Matsumoto Ruby 1.8.6 Yukihiro Matsumoto Ruby 1.8.5 -p231 Yukihiro Matsumoto Ruby 1.8.5 -p230 Yukihiro Matsumoto Ruby 1.8.5 -p115 Yukihiro Matsumoto Ruby 1.8.5 Yukihiro Matsumoto Ruby 1.8.5 Pardus Linux 2008 0 Pardus Linux 2007 0 升级到最新程序： Yukihiro Matsumoto Ruby 1.8.5 -p231 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.5 -p115 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.5 -p230 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.5 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.5 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.6 -p230 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.6 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.6 p286 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.6 -p114 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.6 -p229 Yukihiro Matsumoto ruby-1.8.6-p287.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.7 p71 Yukihiro Matsumoto ruby-1.8.7-p72.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.7 Yukihiro Matsumoto ruby-1.8.7-p72.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.7 -p22 Yukihiro Matsumoto ruby-1.8.7-p72.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz</a> Yukihiro Matsumoto Ruby 1.8.7 -p21 Yukihiro Matsumoto ruby-1.8.7-p72.tar.gz <a href=ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz target=_blank>ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz</a>