CVE-2015-3900
CVE-2015-3900
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
RubyGems 2.0.x before 2.0.16, 2.2.x before 2.2.4, and 2.4.x before 2.4.7 does not validate the hostname when fetching gems or making API requests, which allows remote attackers to redirect requests to arbitrary domains via a crafted DNS SRV record, aka a "DNS hijack attack."
EPSS 8,9% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
n/a
- Softwareversionen
- n/a: Betroffen
Keine Korrektur veröffentlicht
jruby Debian:12
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.7.20.1-2
Auf 1.7.20.1-2 aktualisieren
jruby Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.7.20.1-2
Auf 1.7.20.1-2 aktualisieren
jruby Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.7.20.1-2
Auf 1.7.20.1-2 aktualisieren
Originalquellen
- http://rhn.redhat.com/errata/RHSA-2015-1657.html
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/163502.html
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/163600.html
- http://www.openwall.com/lists/oss-security/2015/06/26/2
- https://www.trustwave.com/Resources/SpiderLabs-Blog/Attacking-Ruby-Gem-Security-with-CVE-2015-3900/
- http://www.securityfocus.com/bid/75482
- https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2015-007/?fid=6356
- http://blog.rubygems.org/2015/05/14/CVE-2015-3900.html
- https://puppet.com/security/cve/CVE-2015-3900
- http://lists.fedoraproject.org/pipermail/package-announce/2015-August/164236.html
- http://www.oracle.com/technetwork/topics/security/bulletinoct2015-2511968.html
- https://nvd.nist.gov/vuln/detail/CVE-2015-3900