Información sobre seguridad / 2018 / Información sobre seguridad -- DSA-4332-1 ruby2.3

Aviso de seguridad de Debian

DSA-4332-1 ruby2.3 -- actualización de seguridad

Fecha del informe:

3 de nov de 2018

Paquetes afectados:

ruby2.3

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En el diccionario CVE de Mitre: CVE-2018-16395, CVE-2018-16396.

Información adicional:

Se han descubierto varias vulnerabilidades en el intérprete del lenguaje de programación Ruby. El proyecto «Vulnerabilidades y exposiciones comunes» («Common Vulnerabilities and Exposures») identifica los problemas siguientes:

• CVE-2018-16395

  Tyler Eckstein informó de que la comprobación de igualdad de OpenSSL::X509::Name podría devolver «verdadero» para objetos no iguales. Si se pasa un certificado X.509 malicioso para su comparación con un certificado existente, hay una posibilidad de que se determine, incorrectamente, que ambos son iguales.

• CVE-2018-16396

  Chris Seaton descubrió que los indicadores de contaminación («tainted flags») no se propagan en Array#pack y en String#unpack con algunas directivas.

Para la distribución «estable» (stretch), estos problemas se han corregido en la versión 2.3.3-1+deb9u4.

Le recomendamos que actualice los paquetes de ruby2.3.

Para información detallada sobre el estado de seguridad de ruby2.3, consulte su página en el sistema de seguimiento de problemas de seguridad: https://security-tracker.debian.org/tracker/ruby2.3