Bulletin d'alerte Debian

DLA-235-1 ruby1.9.1 -- Mise à jour de sécurité pour LTS

Date du rapport :
30 mai 2015
Paquets concernés :
ruby1.9.1
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2011-0188, CVE-2011-2705, CVE-2012-4522, CVE-2013-0256, CVE-2013-2065, CVE-2015-1855.
Plus de précisions :
  • CVE-2011-0188

    La fonction VpMemAlloc dans bigdecimal.c de la classe BigDecimal dans les versions 1.9.2-p136 et précédentes de Ruby, utilisée sur Apple Mac OS X avant la version 10.6.7 et d'autres plateformes, n'alloue pas correctement la mémoire. Cela permet à des attaquants en fonction du contexte d'exécuter du code arbitraire ou de provoquer un déni de service (plantage de l'application) avec des moyens impliquant la création d'une grande valeur BigDecimal dans un processus 64 bits, liés à un « problème de troncature d'entier ».

  • CVE-2011-2705

    Utilisation de SVN r32050 de l'amont pour modifier l'état du PRNG afin d'empêcher la répétition d'une séquence de nombres aléatoires lors de bifurcations de processus ayant le même PID. Rapport fait par Eric Wong.

  • CVE-2012-4522

    La fonction rb_get_path_check de file.c dans Ruby 1.9.3 avant le niveau du correctif 286 et Ruby 2.0.0 avant r37163 permet à des attaquants en fonction du contexte de créer des fichiers dans des emplacements inattendus ou avec des noms inattendus à l'aide d'un octet NUL dans un chemin de fichier.

  • CVE-2013-0256

    darkfish.js dans RDoc 2.3.0 jusqu'à 3.12 et 4.x avant 4.0.0.preview2.1, utilisé dans Ruby, ne génère pas correctement les documents. Cela permet à des attaquants distants de conduire des attaques de script intersite (XSS) à l'aide d'un URL contrefait.

  • CVE-2013-2065

    (1) DL et (2) Fiddle dans Ruby 1.9 avant 1.9.3 correctif 426, et 2.0 avant 2.0.0 correction 195, ne réalise pas de vérification de souillure pour les fonctions natives. Cela permet des attaquants en fonction du contexte de contourner les restrictions de niveau de sécurité (« $SAFE level ») voulues.

  • CVE-2015-1855

    L'implémentation de comparaison de noms d'hôte par l'extension d'OpenSSL viole la norme RFC 6125