Ruby: la vulnerabilidad permite la denegación de servicio

Se ha publicado para Ruby una actualización de aviso de seguridad de TI para una vulnerabilidad conocida. Puede leer aquí en news.de qué sistemas operativos y productos se ven afectados por la brecha de seguridad.

Oficina Federal de Seguridad en Tecnología de la Información (BSI) el 22 de diciembre de 2024 publicó una actualización para una vulnerabilidad de seguridad de Ruby que se identificó el 21 de agosto de 2024. La vulnerabilidad de seguridad afecta a los sistemas operativos Linux y Windows, así como a los productos Red Hat Enterprise Linux, Fedora Linux, SUSE Linux, Oracle Linux, RESF Rocky Linux, Open Source Ruby e IBM Metric Tool.

Las últimas recomendaciones del fabricante con respecto a actualizaciones, correcciones y parches de seguridad para esta vulnerabilidad se pueden encontrar aquí: Aviso de seguridad de Fedora FEDORA-2024-87D30B4FBF (A partir del 20 de diciembre de 2024). Otros enlaces útiles se enumeran más adelante en este artículo.

Ruby Security Consulting - Riesgo: Medio

Nivel de riesgo: 3 (medio)
Cláusula básica CVSS: 5.5
Puntuación provisional CVSS: 4,8
Ataque a distancia: No

El Sistema Común de Puntuación de Vulnerabilidad (CVSS) se utiliza para evaluar la vulnerabilidad de los sistemas informáticos. El estándar CVSS permite comparar vulnerabilidades de seguridad potenciales o reales en función de diferentes criterios para crear una lista de prioridades para la adopción de medidas. Los atributos "ninguno", "bajo", "moderado", "alto" y "crítico" se utilizan para definir los niveles de gravedad de la vulnerabilidad. Baseline mide los requisitos de un ataque (incluida la precisión, la complejidad, los privilegios y la interacción del usuario) y sus consecuencias. Además de la dimensión temporal, en la evaluación se consideran las condiciones del contexto que pueden cambiar con el tiempo. Según el CVSS, el riesgo de vulnerabilidad actual se clasifica como "moderado" con una puntuación base de 5,5.

Error de Ruby: la vulnerabilidad permite la denegación de servicio

Ruby es un lenguaje de programación interpretado y orientado a objetos.

Un atacante remoto y desconocido podría aprovechar una vulnerabilidad en Ruby para realizar un ataque de denegación de servicio.

La vulnerabilidad se clasificó mediante el sistema de referencia CVE (Common Vulnerabilities and Exposures) con el número de secuencia personal CVE-2024-43398.

Sistemas afectados por la vulnerabilidad de seguridad de Ruby de un vistazo

sistemas operativos
Linux, Windows

Productos
Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)
Fedora Linux (cpe:/o:fedoraproject:fedora)
SUSE Linux (cpe:/o:suse:suse_linux)
Oracle Linux (cpe:/o:oracle:linux)
RESF Rocky Linux (cpe:/o:resf:rocky_linux)
Código abierto Ruby <3.3.6 (cpe:/a:ruby-lang:ruby)
Código abierto Ruby 3.3.6 (cpe:/a:ruby-lang:ruby)
Herramienta de métrica de licencia de IBM 9.2.0-9.2.36 (cpe:/a:ibm:license_metric_tool)

Medidas generales para hacer frente a las vulnerabilidades de TI

1. Los usuarios de los sistemas afectados deben actualizarlos. Cuando se conocen agujeros de seguridad, los fabricantes deben solucionarlos lo más rápido posible mediante el desarrollo de un parche o solución. Si hay nuevas actualizaciones de seguridad, instálelas inmediatamente.
2. Para obtener información, consulte los recursos enumerados en la siguiente sección. Estos suelen incluir más información sobre la última versión del software en cuestión, así como la disponibilidad de parches de seguridad o consejos para la solución de problemas.
3. Si tiene más preguntas o inquietudes, comuníquese con su administrador responsable. Los responsables de seguridad de TI deben comprobar periódicamente cuándo la empresa fabricante proporciona una nueva actualización de seguridad.

Fuentes de actualizaciones, parches y correcciones

Aquí encontrará enlaces adicionales con información sobre informes de errores, correcciones de seguridad y soluciones.

Aviso de seguridad de Fedora FEDORA-2024-87D30B4FBF 2024-12-20 (22 de diciembre de 2024)
Puede encontrar más información aquí:

Actualización de seguridad de SUSE SUSE-SU-2024:3874-1 con fecha del 1 de noviembre de 2024 (03.11.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Rocky Linux RLSA-2024:6785 2024-09-30 (30.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-6784 de fecha 2024-09-19 (19.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-6785 del 19 de septiembre de 2024 (19.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2024: 6784 2024-09-18 (18.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2024: 6785 2024-09-19 (18.09.2024)
Puede encontrar más información aquí:

Boletín de seguridad de IBM 7168651 del 17 de septiembre de 2024 (16.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Oracle Linux ELSA-2024-6670 del 17 de septiembre de 2024 (16.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2024: 6702 2024-09-16 (16.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Rocky Linux RLSA-2024:6670 2024-09-17 (16.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2024: 6703 2024-09-16 (16.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Red Hat RHSA-2024: 6670 2024-09-16 (15.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Fedora FEDORA-2024-146EF211BC de fecha 2024-09-10 (09.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Fedora FEDORA-2024-CFCD6258FA de fecha 2024-09-06 (08.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Fedora FEDORA-2024-8A931E76D2 2024-09-04 (04.09.2024)
Puede encontrar más información aquí:

Aviso de seguridad de Ruby con fecha del 21 de agosto de 2024 (21.08.2024)
Puede encontrar más información aquí:

La fecha de revisión de este aviso de seguridad.

Esta es la undécima versión de este boletín de seguridad de TI para Ruby. Si se anuncian más actualizaciones, esta publicación se actualizará. Puede leer sobre los cambios o adiciones en el historial de esta versión.

21 de agosto de 2024 - Versión inicial
04/09/2024 - Se agregaron nuevas actualizaciones de Fedora
08/09/2024 - Se agregaron nuevas actualizaciones de Fedora
09/09/2024 - Se agregaron nuevas actualizaciones de Fedora
15/09/2024 - Se agregaron nuevas actualizaciones de Red Hat
16/09/2024: se agregaron nuevas actualizaciones de Red Hat Software Foundation y Rocky Enterprise
18/09/2024 - Se agregaron nuevas actualizaciones de Red Hat
19/09/2024 - Se agregaron nuevas actualizaciones de Oracle Linux
30/09/2024: se agregaron nuevas actualizaciones de Rocky Enterprise Software Foundation
3 de noviembre de 2024: se agregaron nuevas actualizaciones de SUSE
22/12/2024 - Se agregaron nuevas actualizaciones de Fedora