Ruby

Ruby 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 代码执行13
• 内存破坏12
• 其他弱点11
• 拒绝服务10
• 注入与走私5
• 信息泄露4
• 跨站脚本4
• 访问控制3
• 身份认证3
• 密码学缺陷3
• 开放重定向2
• 业务逻辑2
• 路径遍历1

主要弱点

• Unlabeled11
• 内存破坏（通用）9
• 资源消耗失控6
• 命令注入（通用）6
• Unlabeled4
• 操作系统命令注入3
• 存储型 XSS3
• 信息泄露3
• 认证缺陷（通用）3
• 访问控制缺陷（通用）3

常见资产

• · 44
• https://github.com/ruby/rubySOURCE_CODE · 29

高票报告

当前状态 73 份 · 全部 73

1. 13
   Bugs其他弱点 · 2017-12-15 · 高危
   $0Unlabeled
2. 13
   StringIO strio_getline() can divulge arbitrary memory内存破坏 · 2016-06-21 · 未评级
   $0内存破坏（通用）
3. 12
   controlled buffer under-read in pack_unpack_internal()内存破坏 · 2018-03-30 · 中危
   $0Buffer Under-read
4. 12
   Take back my all data from [email protected]其他弱点 · 2017-12-15 · 高危
   $0Unlabeled
5. 11
   OpenSSL::X509::Name Equality Check Does Not Work, Patch included密码学缺陷 · 2018-10-20 · 中危
   $0证书校验不当
6. 10
   imap: StartTLS stripping attack (CVE-2016-0772).密码学缺陷 · 2021-07-08 · 中危
   $0密码学问题（通用）
7. 10
   SMTP command injection代码执行 · 2016-06-30 · 未评级
   $0命令注入（通用）
8. 9
   'net/http': HTTP Header Injection in the set_content_type method注入与走私 · 2022-02-04 · 高危
   $0CRLF 注入
9. 9
   lib/net/ftp.rb: trusting PASV responses allow client abuse信息泄露 · 2021-07-08 · 低危
   $0信息泄露
10. 9
    RCE (Remote Code Execution) Vulnerability on Ruby代码执行 · 2017-04-05 · 中危
    $0远程文件包含
11. 9
    Arbitrary heap exposure in JSON.generate内存破坏 · 2017-09-25 · 未评级
    $0内存破坏（通用）
12. 8
    RubyのCGIライブラリにHTTPレスポンス分割（HTTPヘッダインジェクション）があり、秘密情報が漏洩する注入与走私 · 2022-11-24 · 高危
    $0HTTP Response Splitting
13. 8
    'net/ftp': Uncontrolled Resource Consumption (Memory/CPU)拒绝服务 · 2021-04-21 · 中危
    $0资源消耗失控
14. 8
    Code Injection Bug Report代码执行 · 2021-05-07 · 未评级
    $0代码注入
15. 8
    Ruby is shipping a vulnerable jQuery其他弱点 · 2019-10-03 · 低危
    $0Unlabeled
16. 8
    Attacker can smuggle a malicious domain in a URI object.开放重定向 · 2022-12-14 · 未评级
    $0开放重定向
17. 7
    OS Command Injection in 'rdoc' documentation generator代码执行 · 2021-07-13 · 中危
    $0操作系统命令注入
18. 7
    public report - Reproducible - Writable RubyCi Amazon s3 bucket[207053]身份认证 · 2017-03-29 · 未评级
    $0认证缺陷（通用）
19. 7
    Buffer underflow in sprintf内存破坏 · 2017-03-05 · 未评级
    $0内存破坏（通用）
20. 6
    CGI::Cookieクラスにおけるセキュリティ上好ましくない仕様および実装注入与走私 · 2022-11-24 · 低危
    $0HTTP Response Splitting
21. 5
    Header CRLF Injection in Ruby Net::HTTP注入与走私 · 2023-05-04 · 低危
    $0CRLF 注入
22. 5
    ReDoS in Time.rfc2822拒绝服务 · 2023-05-16 · 未评级
    $0Unlabeled
23. 5
    XSS exploit of RDoc documentation generated by rdoc跨站脚本 · 2023-07-18 · 中危
    $0存储型 XSS
24. 5
    Resolv::getaddresses bug that can be abused to bypass security measures.业务逻辑 · 2018-02-23 · 未评级
    $0违反安全设计原则（按标题归类）
25. 5
    Escape sequence injection vulnerability in WEBrick BasicAuth代码执行 · 2017-09-15 · 中危
    $0命令注入（通用）