ZeroBox Vulnerability Database

漏洞起因
设计错误
危险等级
低
 
影响系统
Yukihiro Matsumoto Ruby 1.8.6
 Yukihiro Matsumoto Ruby 1.8.5 -p231
 Yukihiro Matsumoto Ruby 1.8.5 -p230
 Yukihiro Matsumoto Ruby 1.8.5 -p2
 Yukihiro Matsumoto Ruby 1.8.5 -p115
 Yukihiro Matsumoto Ruby 1.8.5
 Yukihiro Matsumoto Ruby 1.8.4
 Yukihiro Matsumoto Ruby 1.8.3
 Yukihiro Matsumoto Ruby 1.8.2 pre4
 + Gentoo Linux
 Yukihiro Matsumoto Ruby 1.8.2 pre3
 + Gentoo Linux
 Yukihiro Matsumoto Ruby 1.8.2 pre2
 Yukihiro Matsumoto Ruby 1.8.2 pre1
 Yukihiro Matsumoto Ruby 1.8.2
 + Red Hat Fedora Core4
 + Red Hat Fedora Core3
 Yukihiro Matsumoto Ruby 1.8.1
 + Red Hat Fedora Core3
 + Red Hat Fedora Core2
 Yukihiro Matsumoto Ruby 1.8
 + Red Hat Fedora Core3
 + Ubuntu Ubuntu Linux 5.0 4 powerpc
 + Ubuntu Ubuntu Linux 5.0 4 i386
 + Ubuntu Ubuntu Linux 5.0 4 amd64
 + Ubuntu Ubuntu Linux 4.1 ppc
 + Ubuntu Ubuntu Linux 4.1 ia64
 + Ubuntu Ubuntu Linux 4.1 ia32
 Yukihiro Matsumoto Ruby 1.6.8
 Yukihiro Matsumoto Ruby 1.6.7
 + Debian Linux 3.0 sparc
 + Debian Linux 3.0 s/390
 + Debian Linux 3.0 ppc
 + Debian Linux 3.0 mipsel
 + Debian Linux 3.0 mips
 + Debian Linux 3.0 m68k
 + Debian Linux 3.0 ia-64
 + Debian Linux 3.0 ia-32
 + Debian Linux 3.0 hppa
 + Debian Linux 3.0 arm
 + Debian Linux 3.0 alpha
 + Debian Linux 3.0
 Yukihiro Matsumoto Ruby 1.6
 
不受影响系统
Yukihiro Matsumoto Ruby 1.8.6 -p114
 
危害
本地攻击者可以利用漏洞容易的猜测随机数值。
 
攻击所需条件
攻击者必须访问Yukihiro Matsumoto Ruby应用程序。
 
漏洞信息
Yukihiro Matsumoto Ruby是一款功能强大的面向对象的脚本语言。
Yukihiro Matsumoto Ruby提供的rand在派生进程后没有返回不同的值，攻击者可以利用漏洞猜测随机数值。
在派生后重调用srand可修复此问题。
 
测试方法
 
厂商解决方案
Yukihiro Matsumoto Ruby 1.8.6 -p114已经修复此漏洞，建议用户下载使用：
http://www.ruby-lang.org/en/
 
漏洞提供者
Eric Wong