RubyGems Improper Verification of Cryptographic Signature vulnerability

NGHIÊM TRỌNG 9.8CVE-2018-1000076 · GHSA-mc6j-h948-v2p6 · Công bố 13/03/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2018-1000076 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng org.jruby:jruby-stdlib, rubygems-update, rubygems (rubygems).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.9%, cao hơn 87.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 9.1.16.0, 2.7.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jruby:jruby-stdlib Maven	`< 9.1.16.0`	`9.1.16.0`
rubygems-update RubyGems	`≥ 2.2.0, < 2.7.6`	`2.7.6`
rubygems rubygems	`≤ 2.2.9≤ 2.3.6≤ 2.4.3≤ 2.5.0`	Chưa có bản vá

Mô tả

RubyGems version Ruby 2.2 series: 2.2.9 and earlier, Ruby 2.3 series: 2.3.6 and earlier, Ruby 2.4 series: 2.4.3 and earlier, and Ruby 2.5 series: 2.5.0 and earlier, prior to trunk revision 62422 contain an Improper Verification of Cryptographic Signature vulnerability in package.rb. This can result in a mis-signed gem being installed, as the tarball would contain multiple gem signatures. This vulnerability has been fixed in 2.7.6.

Mô tả của NVD

RubyGems version Ruby 2.2 series: 2.2.9 and earlier, Ruby 2.3 series: 2.3.6 and earlier, Ruby 2.4 series: 2.4.3 and earlier, Ruby 2.5 series: 2.5.0 and earlier, prior to trunk revision 62422 contains a Improper Verification of Cryptographic Signature vulnerability in package.rb that can result in a mis-signed gem could be installed, as the tarball would contain multiple gem signatures.. This vulnerability appears to have been fixed in 2.7.6.