Ruby: Mehrere Schwachstellen ermöglichen Codeausführung

Tier A · Heute patchen – Vor dem Feierabend

Wer betroffen ist: Systeme mit betroffener Ruby-Version und Red Hat Enterprise Linux

Tier A, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND aus der Ferne, ohne Login UND volle Übernahme

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Aus der Ferne, ohne Login · Volle Übernahme

Was zu tun ist

Ruby- und Red-Hat-Enterprise-Linux-Installationen auf verfügbare Sicherheitsupdates prüfen und zeitnah einspielen

Kurz gesagt

Mehrere Schwachstellen in Ruby und Red Hat Enterprise Linux ermöglichen die Ausführung von beliebigem Programmcode.
Ein entfernter, anonymer Angreifer kann diese Schwachstellen ausnutzen, ohne sich anmelden zu müssen.
Das BSI stuft die Lücken als kritisch ein.

Warum es wichtig ist

Wer Ruby oder Red Hat Enterprise Linux einsetzt, sollte prüfen, ob die eigenen Systeme betroffen sind, weil ein Angreifer ohne Zugangsdaten Code auf dem Server ausführen könnte.

Die Checkliste hinter dem Tier

Checkliste · 4 von 10 mit Ja

Ja	Trifft Tech-Teams	Ruby ist eine Entwicklersprache, Red Hat Enterprise Linux ein Server-Betriebssystem, beide von Ops- und IT-Teams betrieben.
Nein	Kerninfrastruktur	Ruby ist eine einzelne Sprache, keine Kerninfrastruktur wie OpenSSH oder der Linux-Kernel.
Ja	Verbreitetes Werkzeug	Ruby ist eine weit verbreitete Sprache, unter anderem mit dem Framework Rails.
Nein	Wird ausgenutzt	BSI WID: Die Meldung nennt keine beobachteten Angriffe, nur die Schwachstellen.
Nein	Exploit öffentlich	BSI WID: Es wird kein veröffentlichter Exploit oder Proof of Concept erwähnt.
Ja	Aus der Ferne, ohne Login	BSI WID: Ein entfernter, anonymer Angreifer kann die Schwachstellen ausnutzen.
Ja	Volle Übernahme	BSI WID: Angreifer können beliebigen Programmcode ausführen, also Codeausführung.
Nein	Geheimnisse offengelegt	BSI WID: Es wird keine Offenlegung von Zugangsdaten, Schlüsseln oder Daten genannt.
Nein	Lieferkette	BSI WID: Es geht um Schwachstellen, nicht um kompromittierte Pakete oder Update-Kanäle.
Nein	Noch kein Fix	BSI WID: Die Meldung nennt keine Angaben zu einer korrigierten Version.

Zeitleiste

9. Nov.
BSI veröffentlicht Warnung zu mehreren Schwachstellen in Ruby und Red Hat Enterprise Linux
9. Nov. · 12:42
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[NEU] [kritisch] Ruby: Mehrere Schwachstellen ermöglichen Codeausführung

Quelle

[NEU] [kritisch] Ruby: Mehrere Schwachstellen ermöglichen Codeausführung ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 1 Std.

Zuerst gesehen vor 1 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden