S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 07 octobre 2005
N° CERTA-2005-AVI-385
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de l'interpréteur de script Ruby

Gestion du document

Référence CERTA-2005-AVI-385
Titre Vulnérabilité de l'interpréteur de script Ruby
Date de la première version07 octobre 2005
Date de la dernière version12 juin 2006
Source(s) Bulletin de mise à jour Ruby
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire en local

Systèmes affectés

Ruby version 1.8.2 et versions antérieures.

Description

Le mécanisme de niveau de sécurité de l'interpréteur de script Ruby est vulnérable. Un utilisateur mal-intentionné peut ainsi exécuter du code arbitraire en se dégageant de toutes les restrictions dues au mécanisme de niveau de sécurité.

Solution

La version 1.8.3 corrige cette vulnérabilité. Pour mettre à jour, consulter le site de l'éditeur (cf. Documentation). Sous Gentoo, utiliser emerge comme suit :

# emerge --sync
# emerge --ask --oneshot --verbose ``>=dev-lang/ruby-1.8.3''

Documentation

Gestion détaillée du document

    le 07 octobre 2005
    version initiale.
    le 12 octobre 2005
    ajout des références aux bulletins de sécurité des éditeurs.
    le 14 octobre 2005
    ajout de la référence au bulletin de sécurité Debian et référence CVE.
    le 27 avril 2006
    ajout des références aux bulletins de sécurité Mandriva, Ubuntu et de la référence CVE.
    le 12 juin 2006
    ajout de la référence au bulletin de sécurité RedHat.