Bulletin d'alerte Debian

DLA-1337-1 jruby -- Mise à jour de sécurité pour LTS

Date du rapport :
2 avril 2018
Paquets concernés :
jruby
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2018-1000075, CVE-2018-1000076, CVE-2018-1000077, CVE-201.
Plus de précisions :

Plusieurs vulnérabilités ont été trouvées dans le cadriciel de gestion de paquets rubygems, incorporé dans JRuby, une implémentation en Java pur du langage de programmation Ruby.

  • CVE-2018-1000075

    Une vulnérabilité de taille négative dans l’en-tête Ruby d’archive de paquet gem pourrait causer une boucle infinie.

  • CVE-2018-1000076

    Le paquet gems de Raby ne vérifie pas correctement les signatures chiffrées. Un gem de signature incorrecte pourrait être installé si l’archive contient plusieurs signatures gem.

  • CVE-2018-1000077

    Une vulnérabilité de validation incorrecte dans l’attribut de la page d’accueil de la spécification gems de Ruby pourrait permettre à un gem malveillant de définir une URL de page d’accueil non valable.

  • CVE-2018-1000078

    Une vulnérabilité de script intersite (XSS) dans l’affichage du serveur gem de l’attribut de page d’accueil.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 1.5.6-5+deb7u1.

Nous vous recommandons de mettre à jour vos paquets jruby.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.