Рекомендация Debian по безопасности

DSA-4332-1 ruby2.3 -- обновление безопасности

Дата сообщения:

03.11.2018

Затронутые пакеты:

ruby2.3

Уязвим:

Да

Ссылки на базы данных по безопасности:

В каталоге Mitre CVE: CVE-2018-16395, CVE-2018-16396.

Более подробная информация:

В интерпретаторе языка Ruby было обнаружено несколько уязвимостей. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

CVE-2018-16395
Тайлер Экштейн сообщил, что проверка равенства для OpenSSL::X509::Name может возвращать истинное значение для неравных объектов. Если для сравнения с существующим сертификатом передаётся вредоносный сертификат X.509, то имеется возможность того, что они будут ошибочно расценены как равные.
CVE-2018-16396
Крис Ситон обнаружил, что флаги, отмечающие заражённые объекты, некоторыми директивами не переносятся на все элементы Array#pack и String#unpack.

В стабильном выпуске (stretch) эти проблемы были исправлены в версии 2.3.3-1+deb9u4.

Рекомендуется обновить пакеты ruby2.3.

С подробным статусом поддержки безопасности ruby2.3 можно ознакомиться на соответствующей странице отслеживания безопасности по адресу https://security-tracker.debian.org/tracker/ruby2.3