S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 04 août 2006 No CERTA-2006-AVI-322-001

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Ruby

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

• Ruby 1.6.x ;
• Ruby 1.8.x.

3 Description

Deux vulnérabilités présentes dans l'interpréteur de script Ruby permettent à un utilisateur distant de contourner la politique de sécurité. Un individu malveillant peut au moyen d'un script spécialement conçu contourner le mécanisme de niveau de sécurité de l'interpréteur de script Ruby.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

• Bulletin de sécurité Mandriva MDKSA-2006:134 du 28 juillet 2006 :

  http://wwwnew.mandriva.com/security/advisories?name=MDKSA-2006:134
  

• Bulletin de sécurité RedHat RHSA-2006:0604 du 27 juillet 2006 :

  http://rhn.redhat.com/errata/RHSA-2006-0604.html
  

• Bulletin de sécurité Ubuntu USN-325-1 du 27 juillet 2006 :

  http://www.ubuntulinux.org/usn/usn-325-1
  

• Bulletin de sécurité Debian DSA-1139 du 03 août 2006 :

  http://www.us.debian.org/security/2006/dsa-1139
  

• Référence CVE CVE-2006-3694 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3694
  

Gestion détaillée du document

02 août 2006

version initiale.

04 août 2006

ajout de la référence au bulletin de sécurité Debian.