JVNDB-2008-001879

Ruby の重要な変数とメソッドの処理に関わる適切なアクセス制限を回避される脆弱性

Ruby には、重要な変数とメソッドのアクセス制限処理に不備があるため、アクセス制限を回避される脆弱性が存在します。

Ruby-lang.org

• Ruby 1.8.5 およびそれ以前
• Ruby 1.8.6 から 1.8.6-p286
• Ruby 1.8.7 から 1.8.7-p71
• Ruby 1.9 から r18423

アップル

• Apple Mac OS X v10.5 から v10.5.6
• Apple Mac OS X Server v10.5 から v10.5.6

ミラクル・リナックス

• Asianux Server 3 (x86) 
• Asianux Server 3 (x86-64) 
• Asianux Server 3.0 
• Asianux Server 3.0 (x86-64) 
• Asianux Server 4.0 
• Asianux Server 4.0 (x86-64) 

レッドハット

• Red Hat Enterprise Linux 5 (server) 
• Red Hat Enterprise Linux 2.1 (as) 
• Red Hat Enterprise Linux 3 (as) 
• Red Hat Enterprise Linux 4 (as) 
• Red Hat Enterprise Linux 2.1 (es) 
• Red Hat Enterprise Linux 3 (es) 
• Red Hat Enterprise Linux 4 (es) 
• Red Hat Enterprise Linux 2.1 (ws) 
• Red Hat Enterprise Linux 3 (ws) 
• Red Hat Enterprise Linux 4 (ws) 
• Red Hat Enterprise Linux Desktop 3.0 
• Red Hat Enterprise Linux Desktop 4.0 
• Red Hat Enterprise Linux Desktop 5.0 (client) 
• RHEL Desktop Workstation 5 (client) 

攻撃者により、セーフレベル4で(1) untrace_var、(2) $PROGRAM_NAME、(3) syslog を実行される、またはセーフレベル1から3で安全ではないメソッドを呼び出されることで、アクセス制限を回避される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Ruby-lang.org

• オブジェクト指向言語Ruby : Top Page

アップル

• Apple Security Updates : HT3549
• Apple セキュリティアップデート : HT3549

ミラクル・リナックス

• Asianux Technical Support Network : ruby-1.8.5-5.5
• MIRACLE LINUX アップデート情報 : 1355
• MIRACLE LINUX アップデート情報 : 1356

レッドハット

• Red Hat Security Advisory : RHSA-2008:0895
• Red Hat Security Advisory : RHSA-2008:0896
• Red Hat Security Advisory : RHSA-2008:0897
• レッドハット セキュリティーアップデート : RHSA-2008:0895
• レッドハット セキュリティーアップデート : RHSA-2008:0896
• レッドハット セキュリティーアップデート : RHSA-2008:0897

1. 認可・権限・アクセス制御(CWE-264) [NVD評価]

1. CVE-2008-3655

1. National Vulnerability Database (NVD) : CVE-2008-3655
2. Secunia Advisory : SA31430
3. SecurityFocus : 30644
4. ISS X-Force Database : 44369
5. SecurityTracker : 1020656

• [2008年11月20日]
    掲載
  [2009年06月29日]
    影響を受けるシステム：アップル (HT3549) の情報を追加
    ベンダ情報：アップル (HT3549) を追加