JVNDB-2015-007006

Apple OS X などの製品で配布される Ruby の ext/fiddle/handle.c の Fiddle::Handle の実装における任意のコードを実行される脆弱性

Apple OS X およびその他の製品で配布される Ruby の ext/fiddle/handle.c の Fiddle::Handle の実装は、汚染状態を誤って処理するため、任意のコードを実行される、またはサービス運用妨害 (アプリケーションクラッシュ) 状態にされる脆弱性が存在します。

本脆弱性は、CVE-2009-5147 のリグレッションに起因した脆弱性です。

Ruby-lang.org

• Ruby 1.9.2
• Ruby 1.9.3
• Ruby 2.0.0-p648 未満の 2.0.0
• Ruby 2.1.8 未満の 2.1
• Ruby 2.2.4 未満の 2.2
• Ruby 2.3.0 preview 1
• Ruby 2.3.0 preview 2
• Ruby trunk revision 53153 未満

アップル

• Apple Mac OS X 10.11 から 10.11.3

攻撃者により、巧妙に細工された文字列を介して、任意のコードを実行される、またはサービス運用妨害 (アプリケーションクラッシュ) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Canonical

• Ubuntu : CVE-2015-7551 in Ubuntu

Debian

• Debian Bug report logs : 796551
• Debian Bug report logs : 796344

Ruby-lang.org

• GitHub : merge revision(s): 53153 and 23405@ruby_1_9_1
• Ruby News : CVE-2015-7551: Unsafe tainted string usage in Fiddle and DL

アップル

• Apple : Apple security updates
• Apple Mailing Lists : APPLE-SA-2016-03-21-5 OS X El Capitan 10.11.4 and Security Update 2016-002
• Apple Security Updates : HT206167
• Apple セキュリティアップデート : HT206167

1. 不適切な入力確認(CWE-20) [NVD評価]

1. CVE-2015-7551

1. JVN : JVNVU#97668313
2. National Vulnerability Database (NVD) : CVE-2015-7551

• [2016年03月28日]
    掲載