Множественные уязвимости в Ruby

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю обойти ограничения безопасности, произвести спуфинг атаку и вызвать отказ в обслуживании.

1. Множественные ошибки обнаружены в реализации ограничений безопасных уровней (safe level restrictions). Удаленный пользователь может вызвать функцию "untrace_var()", произвести операции syslog и изменить "$PROGRAM_NAME" на безопасном уровне 4 или вызвать небезопасные методы на безопасных уровнях 1-3.

2. Уязвимость существует из-за использования регулярных выражений в "WEBrick::HTTPUtils.split_header_value()". Удаленный пользователь может с помощью специально сформированного HTTP запроса потребить все доступные ресурсы процессора на системе.

3. Уязвимость существует из-за ошибки в "DL", которая позволяет удаленному пользователю обойти ограничения безопасности и выполнить потенциально опасные функции.

4. Уязвимость существует из-за того, что resolv.rb использует предсказуемый номер порта для DNS запроса. Удаленный пользователь может отравить DNS кеш.

URL производителя: www.ruby-lang.org/en/

Решение: Установите последнюю версию с сайта производителя.

Ruby 1.8.6:
Update to version 1.8.6-p287.
ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p287.tar.gz

Ruby 1.8.7:
Update to version 1.8.7-p72.
ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p72.tar.gz