Ubuntu vá lỗi SSRF CVE-2019-11027 trong thư viện Ruby OpenID

CVE-2019-11027

Ubuntu phát hành bản vá cho lỗ hổng SSRF CVE-2019-11027 trong gói ruby-openid trên Ubuntu bionic và xenial. Lỗi có thể khiến máy chủ kết nối đến máy chủ tùy ý. Ưu tiên cập nhật lên phiên bản đã vá trong pocket ESM tương ứng.

Tóm tắt nhanh
Ubuntu phát hành bản vá cho lỗ hổng SSRF CVE-2019-11027 trong gói ruby-openid.
Ubuntu bionic và xenial bị ảnh hưởng; máy chủ có thể bị khiến kết nối đến các máy chủ tùy ý.
Ưu tiên cập nhật lên phiên bản đã vá trong pocket ESM tương ứng.

Nội dung bài viết

Ubuntu đã phát hành bản vá cho CVE-2019-11027 trong thư viện Ruby OpenID. Advisory nêu các phiên bản ảnh hưởng và bản cập nhật dành cho Ubuntu bionic, xenial; xem thông báo bảo mật USN-9085-1 của Ubuntu.

Tổng quan và thông tin kỹ thuật

Ruby OpenID là thư viện Ruby hỗ trợ xác thực bằng giao thức OpenID. Lỗ hổng CVE-2019-11027 liên quan đến cách thư viện xử lý URL của claimed identifier trước khi xác minh chữ ký phản hồi OpenID.

Thông tin	Chi tiết
Sản phẩm	Ruby OpenID (gói ruby-openid)
Mã lỗ hổng	CVE-2019-11027
Nguồn	Ubuntu USN-9085-1

Phạm vi ảnh hưởng

Sản phẩm	Phiên bản ảnh hưởng	Phiên bản đã vá	Pocket
Ubuntu bionic	ruby-openid trước 2.7.0debian-1ubuntu0.18.04.1~esm1	2.7.0debian-1ubuntu0.18.04.1~esm1	esm-apps
Ubuntu xenial	ruby-openid trước 2.7.0debian-1ubuntu0.16.04.1~esm1	2.7.0debian-1ubuntu0.16.04.1~esm1	esm-apps-legacy

Cơ chế và tác động

Ruby OpenID gửi yêu cầu đến URL của claimed identifier trước khi xác minh chữ ký phản hồi OpenID. Kẻ tấn công từ xa có thể lợi dụng trình tự này để thực hiện SSRF, khiến máy chủ kết nối đến các máy chủ tùy ý.

Kiểm tra hệ thống

Kiểm tra phiên bản ruby-openid đã cài:
```
dpkg-query -W -f='${Version}\n' ruby-openid
```
Kiểm tra phiên bản ứng viên từ các kho đã cấu hình:
```
apt-cache policy ruby-openid
```
Kiểm tra trạng thái Ubuntu Pro để xác nhận quyền truy cập các pocket ESM tương ứng:
```
pro status
```

Trên Ubuntu bionic, phiên bản đã cài cần từ 2.7.0debian-1ubuntu0.18.04.1~esm1 trở lên; trên xenial, cần từ 2.7.0debian-1ubuntu0.16.04.1~esm1 trở lên.

Khắc phục và giảm thiểu

Ưu tiên cập nhật các hệ thống Ubuntu bionic và xenial đang sử dụng ruby-openid lên phiên bản đã vá tương ứng.
Thực hiện cập nhật hệ thống tiêu chuẩn để cài các bản cập nhật cần thiết. Bản vá dành cho bionic nằm trong pocket esm-apps, còn bản vá dành cho xenial nằm trong pocket esm-apps-legacy.