Ruby是一种可扩展的、解释性的、面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。8月5日,RedHat发布了安全更新，修复了红帽Ruby脚本语言中发现的任意代码执行等重要漏洞。以下是漏洞详情：

漏洞详情

来源：https://a云安ccess.redhat.com/errata/RHSA-2022:0582

1.CVE-2020-36327 CVSS评分：8.8 严重程度：高

在安装受源限制的gem包的依赖项时，Bundler 确定源存储库的方式存在漏洞。在使用多个gem存储库并明确定义全日要从哪个源存储库安装某些 gem 的配置中，如果该存储库提供了更高版本的包，则可以从不同的源安装受源限制的gem的依赖项。这可能导致安装恶意gem版本和执行任意代码。

2.CVE-2019-16255 CVSS评分：8.1 严重程度：中

Ruby 到 2.4.7、报22.5.x 到 2.5.6 和 2.6.x 到 2.6.4 允许代码注入，如果第一个参数（又名“命令”参数）到 Shell#[] 或 Shell#test 在 lib/shell .rb 是不受信任的数据。攻击者可以利用它来调用任意 Ruby 方法。

3.CVE-2020-2561203 CVSS评分：7.5 严重程度：中

在 Ruby 2.5.8、2.6.x 到 2.6.6 和 2.7.x 到 2.7.1 中发现了一个问题。WEBrick 是一个与 Ruby 捆绑在一起的简单 HTTP 服务器，它没有严格检查传输编码标头值。攻击者可能会利用此问题绕过反向代理22（其标头检查也很差），这可能导致 HTTP 请求走私攻击。

4.CVE-2019-16201 CVSS评分：7.5 严重程度：中

Ruby 中的 WEBrick::HTTPAuth::DigestAuth 到 2.4.7、2.5.x 到 2.5.6 和 2.6.x 到 2.6.42: 有一个正则表达式拒绝服务，原因是循环/回溯。受害者必须将使用 DigestAuth 的 WEBrick 服务器暴露给 Internet 或不受信任的网络。

5.CVE-2021-41817 CVSS评分：7.5 严重程度：中

在 ruby 中发现了一个漏洞，发现日期对象在解析 红日期期间容易受到正则表达式拒绝服务 (ReDoS) 的攻击。此漏洞允许攻击者通过提供特制的日期字符串来挂起 ruby 应用程序。此漏洞的最大威胁是系统可用性。

受影响产品和版本

Red Hat Enterprise Linux for x86_64 - Extended Up帽Rdate Support 8.2 x86_64

Red Hat Enterprise Linux Server - AUS 8.2 x86_64

Red Hat Enterprise Linux for IBM z Systems - Extended Update Support 8.2 s390x

Rubed Hat Enterprise Linux for Power, little endian - Extended Update Support 8.2 ppc64le

Red Hat Enterprise Linux Server - TUS 8.2 x86_64

Red Hat Enty脚erprise Linux for ARM 64 - Extended Update Support 8.2 aarch64

Red Hat Enterprise Linux Server (for IBM Power LE) - Update Services for SAP Solution本语s 8.2 ppc64leRed Hat Enterprise Linux Server - Update Services for SAP Solutions 8.2 x86_64

解决方案

ruby:2.6 模块的更新现在可用于 Red Hat Enterprise Linux 8.2 扩展更言发新支持。

有关如何应用此更新的详细信息（包括此通报中描述的更改），请参阅：

https://access.redhat.com/articles/11258

查看更多漏洞信息 以及升级请访问官网：

https://access.redhat.com/se现任curity/security-updates/#/security-advisories

• ·电信发布新一代5G全网通云手机，1199元起售
• ·Twitter鏀惰喘鏂伴椈搴旂敤Brief寮€鍙戝洟闃�
• ·标签: 三星 SK海力士 马斯克 iQOO 15 Ultra
• ·标签: 双欣环保 PVA 港交所 电石
• ·为淘汰Cookie推广“隐私沙箱” 谷歌向英国反垄断部门妥协
• ·贝索斯谈亚马逊竞争：成为最好的企业之一是不够的
• ·Meta重磅发布代码世界模型，AI编程将进入新纪元！
• ·标签: 宏碁 2025Q3财报 北美业务 非电脑事业
• ·超胆侠来了！「蝙蝠感知」AI让智能手机听声生成3D图像
• ·腾讯云宣布多款核心产品降价 最高降幅达40%
• ·标签: 微软 Mustafa Suleyman AI 超级智能
• ·Vidu Q2全面升级:参考生视频提速三倍，支持长达五分钟 AI 故事创作
• ·标签: 东方甄选 新东方 俞敏洪 董宇辉
• ·标签: 多益网络 徐波 汤某 神武
• ·消息称阿里“扫地僧”蔡景现离职 官方暂无回应
• ·阿里云：云计算首次超越卫星，成为2024巴黎奥运会转播主要方式