Ruby是一种可扩展的、解释性的、面向对象的脚本语言。它具有处理文本文件和执行系统管理任务的功能。8月5日,RedHat发布了安全更新，修复了红帽Ruby脚本语言中发现的任意代码执行等重要漏洞。以下是漏洞详情：
漏洞详情
来源：https://acceSS.Redhat.coM/eRRata/RHSA-2022:0582
1.CVE-2020-36327 CVSS评分：8.8 严重程度：高
在安装受源限制的geM包的依赖项时，BundleR 确定源存储库的方式存在漏洞。在使用多个geM存储库并明确定义要从哪个源存储库安装某些 geM 的配置中，如果该存储库提供了更高版本的包，则可以从不同的源安装受源限制的geM的依赖项。这可能导致安装恶意geM版本和执行任意代码。
2.CVE-2019-16255 CVSS评分：8.1 严重程度：中
Ruby 到 2.4.7、2.5.x 到 2.5.6 和 2.6.x 到 2.6.4 允许代码注入，如果第一个参数（又名“命令”参数）到 Shell#[] 或 Shell#test 在 lib/Shell .Rb 是不受信任的数据。攻击者可以利用它来调用任意 Ruby 方法。
3.CVE-2020-25613 CVSS评分：7.5 严重程度：中
在 Ruby 2.5.8、2.6.x 到 2.6.6 和 2.7.x 到 2.7.1 中发现了一个问题。WEBRick 是一个与 Ruby 捆绑在一起的简单 HTTP 服务器，它没有严格检查传输编码标头值。攻击者可能会利用此问题绕过反向代理（其标头检查也很差），这可能导致 HTTP 请求走私攻击。
4.CVE-2019-16201 CVSS评分：7.5 严重程度：中
Ruby 中的 WEBRick::HTTPAuth::DigestAuth 到 2.4.7、2.5.x 到 2.5.6 和 2.6.x 到 2.6.4 有一个正则表达式拒绝服务，原因是循环/回溯。受害者必须将使用 DigestAuth 的 WEBRick 服务器暴露给 InteRnet 或不受信任的网络。
5.CVE-2021-41817 CVSS评分：7.5 严重程度：中
在 Ruby 中发现了一个漏洞，发现日期对象在解析日期期间容易受到正则表达式拒绝服务 (ReDoS) 的攻击。此漏洞允许攻击者通过提供特制的日期字符串来挂起 Ruby 应用程序。此漏洞的最大威胁是系统可用性。
受影响产品和版本
Red Hat EnteRpRise linux foR x86_64 – Extended update support 8.2 x86_64
Red Hat EnteRpRise linux SeRveR – AUS 8.2 x86_64
Red Hat EnteRpRise linux foR IBM z systems – Extended update support 8.2 s390x
Red Hat EnteRpRise linux foR PoweR, lITtle endian – Extended update support 8.2 pPC64le
Red Hat EnteRpRise linux SeRveR – TUS 8.2 x86_64
Red Hat EnteRpRise linux foR ARM 64 – Extended update support 8.2 aaRch64
Red Hat EnteRpRise linux SeRveR (foR IBM PoweR LE) – update SeRvices foR SAP solutions 8.2 pPC64leRed Hat EnteRpRise linux SeRveR – update SeRvices foR SAP solutions 8.2 x86_64
解决方案
Ruby:2.6 模块的更新现在可用于 Red Hat EnteRpRise linux 8.2 扩展更新支持。
有关如何应用此更新的详细信息（包括此通报中描述的更改），请参阅：
https://acceSS.Redhat.coM/articles/11258
查看更多漏洞信息 以及升级请访问官网：
https://acceSS.Redhat.coM/security/security-updates/#/security-advisoRies
