Star0
20
代码
代码
Issues4
Pull Requests
项目讨论
Wiki
分析
Star0
20
已开启
CVE-2025-0306 #105
tong_1001创建于  2025年1月8日
T
tong_1001
2025年1月8日 创建

一、漏洞信息
漏洞编号：CVE-2025-0306
漏洞归属组件：ruby
漏洞归属的版本：2.5.8,3.0.3,3.1.3,3.2.2,3.2.6
CVSS评分：
BaseScore：7.4 High
Vector：CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
漏洞简述：
A vulnerability was found in Ruby. The Ruby interpreter is vulnerable to the Marvin Attack. This attack allows the attacker to decrypt previously encrypted messages or forge signatures by exchanging a large number of messages with the vulnerable service.
漏洞公开时间：2025-01-09 12:15:13
漏洞创建时间：2025-01-08 14:29:34
漏洞详情参考链接：
https://nvd.nist.gov/vuln/detail/CVE-2025-0306

更多参考(点击展开)
参考来源 参考链接 来源链接
secalert.redhat.com https://access.redhat.com/security/cve/CVE-2025-0306
secalert.redhat.com https://bugzilla.redhat.com/show_bug.cgi?id=2336100
suse_bugzilla http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-0306 https://bugzilla.suse.com/show_bug.cgi?id=1235620
suse_bugzilla https://bugzilla.redhat.com/show_bug.cgi?id=2336100 https://bugzilla.suse.com/show_bug.cgi?id=1235620
suse_bugzilla https://www.cve.org/CVERecord?id=CVE-2025-0306 https://bugzilla.suse.com/show_bug.cgi?id=1235620
suse_bugzilla https://access.redhat.com/security/cve/CVE-2025-0306 https://bugzilla.suse.com/show_bug.cgi?id=1235620
suse_bugzilla https://github.com/CVEProject/cvelistV5/blob/main//cves/2025/0xxx/CVE-2025-0306.json https://bugzilla.suse.com/show_bug.cgi?id=1235620
redhat_bugzilla https://github.com/openssl/openssl/pull/13817, https://bugzilla.redhat.com/show_bug.cgi?id=2336100
redhat_bugzilla https://access.redhat.com/errata/RHSA-2024:0500 https://bugzilla.redhat.com/show_bug.cgi?id=2336100
redhat_bugzilla https://access.redhat.com/errata/RHSA-2023:7877 https://bugzilla.redhat.com/show_bug.cgi?id=2336100
redhat_bugzilla https://access.redhat.com/errata/RHSA-2024:0154 https://bugzilla.redhat.com/show_bug.cgi?id=2336100
redhat_bugzilla https://access.redhat.com/errata/RHSA-2024:0208 https://bugzilla.redhat.com/show_bug.cgi?id=2336100
anolis https://anas.openanolis.cn/cves/detail/CVE-2025-0306
amazon_linux_explore https://access.redhat.com/security/cve/CVE-2025-0306 https://explore.alas.aws.amazon.com/CVE-2025-0306.html
amazon_linux_explore https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-0306 https://explore.alas.aws.amazon.com/CVE-2025-0306.html

漏洞分析指导链接：
https://atomgit.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
漏洞数据来源:
openBrain开源漏洞感知系统
漏洞补丁信息：

详情(点击展开)
影响的包 修复版本 修复补丁 问题引入补丁 来源
https://github.com/openssl/openssl/pull/13817, redhat_bugzilla

二、漏洞分析结构反馈
影响性分析说明：
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
openEuler评分：
7.4
Vector：CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
受影响版本排查(受影响/不受影响)：
1.master(3.2.8):不受影响
2.openEuler-20.03-LTS-SP4(2.5.8):受影响
3.openEuler-22.03-LTS-SP1(3.0.3):受影响
4.openEuler-22.03-LTS-SP3(3.0.3):受影响
5.openEuler-22.03-LTS-SP4(3.0.3):受影响
6.openEuler-24.03-LTS(3.2.2):受影响
7.openEuler-24.03-LTS-Next(3.2.2):受影响
8.openEuler-24.03-LTS-SP1(3.2.2):受影响
9.openEuler-24.03-LTS-SP2(3.2.2):受影响
10.openEuler-24.03-LTS-SP3(3.2.2):受影响
11.openEuler-24.03-LTS-SP4(3.2.2):不受影响

修复是否涉及abi变化(是/否)：
1.master(3.2.8):否
2.openEuler-20.03-LTS-SP4(2.5.8):否
3.openEuler-22.03-LTS-SP1(3.0.3):否
4.openEuler-22.03-LTS-SP3(3.0.3):否
5.openEuler-22.03-LTS-SP4(3.0.3):否
6.openEuler-24.03-LTS-Next(3.2.2):否
7.openEuler-24.03-LTS-SP1(3.2.2):否
8.openEuler-24.03-LTS-SP2(3.2.2):否
9.openEuler-24.03-LTS(3.2.2):否
10.openEuler-24.03-LTS-SP3(3.2.2):否
11.openEuler-24.03-LTS-SP4(3.2.2):否

原因说明：
1.master(3.2.8):不受影响-漏洞代码不能被攻击者触发
2.openEuler-20.03-LTS-SP4(2.5.8):暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1(3.0.3):暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3(3.0.3):暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4(3.0.3):暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS(3.2.2):暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next(3.2.2):暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1(3.2.2):暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2(3.2.2):暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3(3.2.2):暂不修复-暂无解决方案或补丁
11.openEuler-24.03-LTS-SP4(3.2.2):不受影响-漏洞代码不能被攻击者触发

likedislike
Ttong_1001
2025年1月8日 创建了CVE和安全问题
-
2025年1月8日 评论：

Hi tong_1001, welcome to the openEuler Community.
I'm the Bot here serving you. You can find the instructions on how to interact with me at Here.
If you have any questions, please contact the SIG: sig-ruby, and any of the maintainers: @shinwell_hu , @small_leek , any of the committers: @openeuler-basic

likedislike
openeuler-ci-botopeneuler-ci-bot成员
2025年1月8日 添加了   sig/sig-ruby 标签
openeuler-ci-botopeneuler-ci-bot成员
2025年1月8日 添加了   CVE/UNFIXED 标签
openeuler-ci-botopeneuler-ci-bot成员
2025年1月8日 将负责人设置为syyhao
openeuler-ci-botopeneuler-ci-bot成员
2025年1月8日 修改了描述
-
2025年1月8日 评论：

@shinwell_hu ,@small_leek ,@shenyangyang01
issue处理注意事项:
1. 当前issue受影响的分支提交pr时, 须在pr描述中填写当前issue编号进行关联, 否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容,未引入的分支不需要填写, 否则无法关闭当前issue;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复, 注: 内容的标题名称(影响性分析说明, openEuler评分, 受影响版本排查(受影响/不受影响), 修复是否涉及abi变化(是/否), 原因说明)不能省略,省略后cve-manager将无法正常解析填写内容.

影响性分析说明:

openEuler评分: (评分和向量)

受影响版本排查(受影响/不受影响):
1.master(3.2.6):
2.openEuler-20.03-LTS-SP4(2.5.8):
3.openEuler-22.03-LTS-SP1(3.0.3):
4.openEuler-22.03-LTS-SP3(3.0.3):
5.openEuler-22.03-LTS-SP4(3.0.3):
6.openEuler-24.03-LTS(3.2.2):
7.openEuler-24.03-LTS-Next(3.2.2):
8.openEuler-24.03-LTS-SP1(3.2.2):

修复是否涉及abi变化(是/否)：
1.master(3.2.6):
2.openEuler-20.03-LTS-SP4(2.5.8):
3.openEuler-22.03-LTS-SP1(3.0.3):
4.openEuler-22.03-LTS-SP3(3.0.3):
5.openEuler-22.03-LTS-SP4(3.0.3):
6.openEuler-24.03-LTS(3.2.2):
7.openEuler-24.03-LTS-Next(3.2.2):
8.openEuler-24.03-LTS-SP1(3.2.2):

原因说明：
1.master(3.2.6):
2.openEuler-20.03-LTS-SP4(2.5.8):
3.openEuler-22.03-LTS-SP1(3.0.3):
4.openEuler-22.03-LTS-SP3(3.0.3):
5.openEuler-22.03-LTS-SP4(3.0.3):
6.openEuler-24.03-LTS(3.2.2):
7.openEuler-24.03-LTS-Next(3.2.2):
8.openEuler-24.03-LTS-SP1(3.2.2):

原因说明填写请参考下方表格(注意：版本是否受影响和版本的原因说明必须对应，例如master版本分支受影响，那原因说明只能是受影响对应的原因之一!)：

分支状态 原因说明
受影响 正常修复
受影响 暂不修复-漏洞仍在分析中
受影响 暂不修复-暂无解决方案或补丁
受影响 暂不修复-待升级版本修复
受影响 不修复-超出修复范围
受影响 不修复-特殊原因导致不再修复
不受影响 不受影响-组件不存在
不受影响 不受影响-已有内置的内联控制或缓解措施
不受影响 不受影响-漏洞代码不能被攻击者触发
不受影响 不受影响-漏洞代码不在执行路径
不受影响 不受影响-漏洞代码不存在

issue处理具体操作请参考:
https://gitee.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
pr关联issue具体操作请参考:
https://gitee.com/help/articles/4142

likedislike
-
2025年1月8日 评论：

@tong_1001 CVE信息从NVD同步失败, 请稍后重试, 或者数据源不存在.

likedislike
Ttong_1001
2025年1月8日 将负责人从 syyhao 修改为桐小哥
T
tong_1001
2025年1月8日 评论：

https://access.redhat.com/security/cve/CVE-2025-0306
输入图片说明
Below are some possible mitigation for this flaw:

likedislike
T
tong_1001
2025年1月8日 评论：

Additional information
Bugzilla 2336100: ruby: openssl: Ruby Marvin Attack
CWE-385: Covert Timing Channel

likedislike
T
tong_1001
2025年1月9日 评论：
T
tong_1001
2025年1月9日 评论：
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 修改了描述
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 将优先级设置为主要
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 将计划开始日期设置为2025-01-08
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 将计划截止日期设置为2025-02-07
T
tong_1001
2025年1月10日 评论：

影响性分析说明:Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。

openEuler评分: (评分和向量)
7.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
受影响版本排查(受影响/不受影响):
1.master(3.2.6):受影响
2.openEuler-20.03-LTS-SP4(2.5.8):受影响
3.openEuler-22.03-LTS-SP1(3.0.3):受影响
4.openEuler-22.03-LTS-SP3(3.0.3):受影响
5.openEuler-22.03-LTS-SP4(3.0.3):受影响
6.openEuler-24.03-LTS(3.2.2):受影响
7.openEuler-24.03-LTS-Next(3.2.2):受影响
8.openEuler-24.03-LTS-SP1(3.2.2):受影响

修复是否涉及abi变化(是/否)：
1.master(3.2.6):否
2.openEuler-20.03-LTS-SP4(2.5.8):否
3.openEuler-22.03-LTS-SP1(3.0.3):否
4.openEuler-22.03-LTS-SP3(3.0.3):否
5.openEuler-22.03-LTS-SP4(3.0.3):否
6.openEuler-24.03-LTS(3.2.2):否
7.openEuler-24.03-LTS-Next(3.2.2):否
8.openEuler-24.03-LTS-SP1(3.2.2):否

原因说明：
1.master(3.2.6):暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4(2.5.8):暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1(3.0.3):暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3(3.0.3):暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4(3.0.3):暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS(3.2.2):暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next(3.2.2):暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1(3.2.2):暂不修复-暂无解决方案或补丁

likedislike
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 修改了描述
-
2025年1月10日 评论：

@tong_1001 经过 cve-manager 解析, 已分析的内容如下表所示:

状态 分析项目 内容
已分析 1.影响性分析说明 Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
已分析 2.openEulerScore 7.4
已分析 3.openEulerVector AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
已分析 4.受影响版本排查 master:受影响,openEuler-20.03-LTS-SP4:受影响,openEuler-22.03-LTS-SP1:受影响,openEuler-22.03-LTS-SP3:受影响,openEuler-22.03-LTS-SP4:受影响,openEuler-24.03-LTS:受影响,openEuler-24.03-LTS-Next:受影响,openEuler-24.03-LTS-SP1:受影响
已分析 5.是否涉及abi变化 master:否,openEuler-20.03-LTS-SP4:否,openEuler-22.03-LTS-SP1:否,openEuler-22.03-LTS-SP3:否,openEuler-22.03-LTS-SP4:否,openEuler-24.03-LTS:否,openEuler-24.03-LTS-Next:否,openEuler-24.03-LTS-SP1:否
已分析 6.原因说明 master:暂不修复-暂无解决方案或补丁,openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

likedislike
T
tong_1001
2025年1月10日 评论：

https://github.com/ruby/ruby/blob/master/ext/openssl/lib/openssl/pkey.rb#L458

    private def translate_padding_mode(num)
      case num
      when PKCS1_PADDING
        "pkcs1"

PKCS1_PADDING对应的就是PKCS#1 v1.5 padding填充方式：
https://ruby-doc.org/stdlib-3.1.0/libdoc/openssl/rdoc/OpenSSL/PKey/RSA.html#PKCS1_PADDING
https://commondatastorage.googleapis.com/chromium-boringssl-docs/rsa.h.html#RSA_PKCS1_PADDING

ruby源码中已说明了该方法是不安全的：
https://github.com/ruby/ruby/blob/master/ext/openssl/lib/openssl/pkey.rb#L390C7-L391C15

    # :call-seq:
    #    rsa.public_decrypt(string)          -> String
    #    rsa.public_decrypt(string, padding) -> String
    #
    # Decrypt +string+, which has been encrypted with the private key, with the
    # public key.  +padding+ defaults to PKCS1_PADDING which is known to be
    # insecure but is kept for backwards compatibility.
likedislike
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 将计划截止日期从 2025-02-07 修改为2025-01-24
openeuler-ci-botopeneuler-ci-bot成员
2025年1月10日 将计划开始日期从 2025-01-08 修改为2025-01-10
T
tong_1001
2025年1月15日 评论：

/reason 社区无补丁，暂时挂起

likedislike
Ttong_1001
2025年1月15日 将任务状态从 待办的 修改为已挂起
-
2025年1月15日 评论：
issue状态 操作者 原因
已挂起 tong_1001 社区无补丁，暂时挂起
likedislike
openeuler-ci-botopeneuler-ci-bot成员
2025年4月14日 修改了描述
T
tong_1001
5月30日 评论：

影响性分析说明：
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
openEuler评分：
7.4
Vector：CVSS：3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
受影响版本排查(受影响/不受影响)：
1.master(3.2.7):受影响
2.openEuler-20.03-LTS-SP4(2.5.8):受影响
3.openEuler-22.03-LTS-SP1(3.0.3):受影响
4.openEuler-22.03-LTS-SP3(3.0.3):受影响
5.openEuler-22.03-LTS-SP4(3.0.3):受影响
6.openEuler-24.03-LTS(3.2.2):受影响
7.openEuler-24.03-LTS-Next(3.2.2):受影响
8.openEuler-24.03-LTS-SP1(3.2.2):受影响
9.openEuler-24.03-LTS-SP2(3.2.2):受影响

修复是否涉及abi变化(是/否)：
1.master(3.2.7):否
2.openEuler-20.03-LTS-SP4(2.5.8):否
3.openEuler-22.03-LTS-SP1(3.0.3):否
4.openEuler-22.03-LTS-SP3(3.0.3):否
5.openEuler-22.03-LTS-SP4(3.0.3):否
6.openEuler-24.03-LTS(3.2.2):否
7.openEuler-24.03-LTS-Next(3.2.2):否
8.openEuler-24.03-LTS-SP1(3.2.2):否
9.openEuler-24.03-LTS-SP2(3.2.2):

原因说明：
1.master(3.2.7):暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4(2.5.8):暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1(3.0.3):暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3(3.0.3):暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4(3.0.3):暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS(3.2.2):暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next(3.2.2):暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1(3.2.2):暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2(3.2.2):暂不修复-暂无解决方案或补丁

likedislike
openeuler-ci-botopeneuler-ci-bot成员
5月30日 修改了issue 的描述
openeuler-ci-bot
openeuler-ci-bot成员
5月30日 评论：

经过cve-manager解析，部分字段填写错误，如红色字体所示：

影响性分析说明:
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。

openEuler评分: (评分和向量)
7.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

受影响版本排查(受影响/不受影响):
1.master:受影响
2.openEuler-20.03-LTS-SP4:受影响
3.openEuler-22.03-LTS-SP1:受影响
4.openEuler-22.03-LTS-SP3:受影响
5.openEuler-22.03-LTS-SP4:受影响
6.openEuler-24.03-LTS:受影响
7.openEuler-24.03-LTS-Next:受影响
8.openEuler-24.03-LTS-SP1:受影响
9.openEuler-24.03-LTS-SP2:受影响
10.openEuler-24.03-LTS-SP3:(请填写此字段)
11.openEuler-24.03-LTS-SP4:(请填写此字段)

修复是否涉及abi变化(是/否)：
1.master:否
2.openEuler-20.03-LTS-SP4:否
3.openEuler-22.03-LTS-SP1:否
4.openEuler-22.03-LTS-SP3:否
5.openEuler-22.03-LTS-SP4:否
6.openEuler-24.03-LTS:否
7.openEuler-24.03-LTS-Next:否
8.openEuler-24.03-LTS-SP1:否
9.openEuler-24.03-LTS-SP2:(请填写此字段)
10.openEuler-24.03-LTS-SP3:(请填写此字段)
11.openEuler-24.03-LTS-SP4:(请填写此字段)

原因说明：
1.master:暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3:(请填写此字段)
11.openEuler-24.03-LTS-SP4:(请填写此字段)

likedislike
T
tong_1001
5月30日 评论：

影响性分析说明:
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。

openEuler评分: (评分和向量)
7.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

受影响版本排查(受影响/不受影响):
1.master:受影响
2.openEuler-20.03-LTS-SP4:受影响
3.openEuler-22.03-LTS-SP1:受影响
4.openEuler-22.03-LTS-SP3:受影响
5.openEuler-22.03-LTS-SP4:受影响
6.openEuler-24.03-LTS:受影响
7.openEuler-24.03-LTS-Next:受影响
8.openEuler-24.03-LTS-SP1:受影响
9.openEuler-24.03-LTS-SP2:受影响
10.openEuler-24.03-LTS-SP3:(请填写此字段)
11.openEuler-24.03-LTS-SP4:(请填写此字段)

修复是否涉及abi变化(是/否)：
1.master:否
2.openEuler-20.03-LTS-SP4:否
3.openEuler-22.03-LTS-SP1:否
4.openEuler-22.03-LTS-SP3:否
5.openEuler-22.03-LTS-SP4:否
6.openEuler-24.03-LTS:否
7.openEuler-24.03-LTS-Next:否
8.openEuler-24.03-LTS-SP1:否
9.openEuler-24.03-LTS-SP2:否
10.openEuler-24.03-LTS-SP3:否
11.openEuler-24.03-LTS-SP4:否

原因说明：
1.master:暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁
11.openEuler-24.03-LTS-SP4:暂不修复-暂无解决方案或补丁

likedislike
openeuler-ci-botopeneuler-ci-bot成员
5月30日 修改了issue 的描述
openeuler-ci-bot
openeuler-ci-bot成员
5月30日 评论：

经过cve-manager解析，部分字段填写错误，如红色字体所示：

影响性分析说明:
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。

openEuler评分: (评分和向量)
7.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

受影响版本排查(受影响/不受影响):
1.master:受影响
2.openEuler-20.03-LTS-SP4:受影响
3.openEuler-22.03-LTS-SP1:受影响
4.openEuler-22.03-LTS-SP3:受影响
5.openEuler-22.03-LTS-SP4:受影响
6.openEuler-24.03-LTS:受影响
7.openEuler-24.03-LTS-Next:受影响
8.openEuler-24.03-LTS-SP1:受影响
9.openEuler-24.03-LTS-SP2:受影响
10.openEuler-24.03-LTS-SP3:(请填写此字段)
11.openEuler-24.03-LTS-SP4:(请填写此字段)

修复是否涉及abi变化(是/否)：
1.master:否
2.openEuler-20.03-LTS-SP4:否
3.openEuler-22.03-LTS-SP1:否
4.openEuler-22.03-LTS-SP3:否
5.openEuler-22.03-LTS-SP4:否
6.openEuler-24.03-LTS:否
7.openEuler-24.03-LTS-Next:否
8.openEuler-24.03-LTS-SP1:否
9.openEuler-24.03-LTS-SP2:否
10.openEuler-24.03-LTS-SP3:否
11.openEuler-24.03-LTS-SP4:否

原因说明：
1.master:暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁
11.openEuler-24.03-LTS-SP4:暂不修复-暂无解决方案或补丁

likedislike
T
tong_1001
5月30日 评论：

影响性分析说明:
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。

openEuler评分: (评分和向量)
7.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

受影响版本排查(受影响/不受影响):
1.master:受影响
2.openEuler-20.03-LTS-SP4:受影响
3.openEuler-22.03-LTS-SP1:受影响
4.openEuler-22.03-LTS-SP3:受影响
5.openEuler-22.03-LTS-SP4:受影响
6.openEuler-24.03-LTS:受影响
7.openEuler-24.03-LTS-Next:受影响
8.openEuler-24.03-LTS-SP1:受影响
9.openEuler-24.03-LTS-SP2:受影响
10.openEuler-24.03-LTS-SP3:受影响
11.openEuler-24.03-LTS-SP4:受影响

修复是否涉及abi变化(是/否)：
1.master:否
2.openEuler-20.03-LTS-SP4:否
3.openEuler-22.03-LTS-SP1:否
4.openEuler-22.03-LTS-SP3:否
5.openEuler-22.03-LTS-SP4:否
6.openEuler-24.03-LTS:否
7.openEuler-24.03-LTS-Next:否
8.openEuler-24.03-LTS-SP1:否
9.openEuler-24.03-LTS-SP2:否
10.openEuler-24.03-LTS-SP3:否
11.openEuler-24.03-LTS-SP4:否

原因说明：
1.master:暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁
11.openEuler-24.03-LTS-SP4:暂不修复-暂无解决方案或补丁

likedislike
openeuler-ci-botopeneuler-ci-bot成员
5月30日 修改了issue 的描述
openeuler-ci-bot
openeuler-ci-bot成员
5月30日 评论：

@ 经过 cve-manager 解析, 已分析的内容如下表所示:

状态 分析项目 内容
已分析 1.影响性分析说明 Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
已分析 2.openEulerScore 7.4
已分析 3.openEulerVector AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
已分析 4.受影响版本排查 master:受影响,openEuler-20.03-LTS-SP4:受影响,openEuler-22.03-LTS-SP1:受影响,openEuler-22.03-LTS-SP3:受影响,openEuler-22.03-LTS-SP4:受影响,openEuler-24.03-LTS:受影响,openEuler-24.03-LTS-Next:受影响,openEuler-24.03-LTS-SP1:受影响,openEuler-24.03-LTS-SP2:受影响,openEuler-24.03-LTS-SP3:受影响,openEuler-24.03-LTS-SP4:受影响
已分析 5.是否涉及abi变化 master:否,openEuler-20.03-LTS-SP4:否,openEuler-22.03-LTS-SP1:否,openEuler-22.03-LTS-SP3:否,openEuler-22.03-LTS-SP4:否,openEuler-24.03-LTS-Next:否,openEuler-24.03-LTS-SP1:否,openEuler-24.03-LTS-SP2:否,openEuler-24.03-LTS:否,openEuler-24.03-LTS-SP3:否,openEuler-24.03-LTS-SP4:否
已分析 6.原因说明 master:暂不修复-暂无解决方案或补丁,openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP4:暂不修复-暂无解决方案或补丁

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

likedislike
T
tong_1001
5月30日 评论：

/reason 社区无补丁，暂时挂起

likedislike
T
tong_1001
6月12日 评论：

影响性分析说明:
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。

openEuler评分: (评分和向量)
7.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

受影响版本排查(受影响/不受影响):
1.master:受影响
2.openEuler-20.03-LTS-SP4:受影响
3.openEuler-22.03-LTS-SP1:受影响
4.openEuler-22.03-LTS-SP3:受影响
5.openEuler-22.03-LTS-SP4:受影响
6.openEuler-24.03-LTS:受影响
7.openEuler-24.03-LTS-Next:受影响
8.openEuler-24.03-LTS-SP1:受影响
9.openEuler-24.03-LTS-SP2:受影响
10.openEuler-24.03-LTS-SP3:受影响
11.openEuler-24.03-LTS-SP4:受影响

修复是否涉及abi变化(是/否)：
1.master:否
2.openEuler-20.03-LTS-SP4:否
3.openEuler-22.03-LTS-SP1:否
4.openEuler-22.03-LTS-SP3:否
5.openEuler-22.03-LTS-SP4:否
6.openEuler-24.03-LTS:否
7.openEuler-24.03-LTS-Next:否
8.openEuler-24.03-LTS-SP1:否
9.openEuler-24.03-LTS-SP2:否
10.openEuler-24.03-LTS-SP3:否
11.openEuler-24.03-LTS-SP4:否

原因说明：
1.master:暂不修复-暂无解决方案或补丁
2.openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁
11.openEuler-24.03-LTS-SP4:暂不修复-暂无解决方案或补丁

likedislike
openeuler-ci-bot
openeuler-ci-bot成员
6月12日 评论：

@ 经过 cve-manager 解析, 已分析的内容如下表所示:

状态 分析项目 内容
已分析 1.影响性分析说明 Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
已分析 2.openEulerScore 7.4
已分析 3.openEulerVector AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
已分析 4.受影响版本排查 master:受影响,openEuler-20.03-LTS-SP4:受影响,openEuler-22.03-LTS-SP1:受影响,openEuler-22.03-LTS-SP3:受影响,openEuler-22.03-LTS-SP4:受影响,openEuler-24.03-LTS:受影响,openEuler-24.03-LTS-Next:受影响,openEuler-24.03-LTS-SP1:受影响,openEuler-24.03-LTS-SP2:受影响,openEuler-24.03-LTS-SP3:受影响,openEuler-24.03-LTS-SP4:受影响
已分析 5.是否涉及abi变化 master:否,openEuler-20.03-LTS-SP4:否,openEuler-22.03-LTS-SP1:否,openEuler-22.03-LTS-SP3:否,openEuler-22.03-LTS-SP4:否,openEuler-24.03-LTS-Next:否,openEuler-24.03-LTS-SP1:否,openEuler-24.03-LTS-SP2:否,openEuler-24.03-LTS:否,openEuler-24.03-LTS-SP3:否,openEuler-24.03-LTS-SP4:否
已分析 6.原因说明 master:暂不修复-暂无解决方案或补丁,openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP4:暂不修复-暂无解决方案或补丁

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

likedislike
T
tong_1001
6月12日 评论：

/reason 社区无补丁，暂时挂起

likedislike
Ttong_1001
6月12日 关闭了 issue
openeuler-ci-botopeneuler-ci-bot成员
6月12日 重新打开了 issue
T
tong_1001
2 天前 评论：

master分支和openEuler-24.03-LTS-SP4分支 openEuler:openssl的版本都大于3.2版本，因此这些版本不受影响。

likedislike
T
tong_1001
2 天前 评论：

影响性分析说明：
Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
openEuler评分：
7.4
Vector：CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
受影响版本排查(受影响/不受影响)：
1.master(3.2.8):不受影响
2.openEuler-20.03-LTS-SP4(2.5.8):受影响
3.openEuler-22.03-LTS-SP1(3.0.3):受影响
4.openEuler-22.03-LTS-SP3(3.0.3):受影响
5.openEuler-22.03-LTS-SP4(3.0.3):受影响
6.openEuler-24.03-LTS(3.2.2):受影响
7.openEuler-24.03-LTS-Next(3.2.2):受影响
8.openEuler-24.03-LTS-SP1(3.2.2):受影响
9.openEuler-24.03-LTS-SP2(3.2.2):受影响
10.openEuler-24.03-LTS-SP3(3.2.2):受影响
11.openEuler-24.03-LTS-SP4(3.2.2):不受影响

修复是否涉及abi变化(是/否)：
1.master(3.2.8):否
2.openEuler-20.03-LTS-SP4(2.5.8):否
3.openEuler-22.03-LTS-SP1(3.0.3):否
4.openEuler-22.03-LTS-SP3(3.0.3):否
5.openEuler-22.03-LTS-SP4(3.0.3):否
6.openEuler-24.03-LTS-Next(3.2.2):否
7.openEuler-24.03-LTS-SP1(3.2.2):否
8.openEuler-24.03-LTS-SP2(3.2.2):否
9.openEuler-24.03-LTS(3.2.2):否
10.openEuler-24.03-LTS-SP3(3.2.2):否
11.openEuler-24.03-LTS-SP4(3.2.2):否

原因说明：
1.master(3.2.8):不受影响-漏洞代码不能被攻击者触发
2.openEuler-20.03-LTS-SP4(2.5.8):暂不修复-暂无解决方案或补丁
3.openEuler-22.03-LTS-SP1(3.0.3):暂不修复-暂无解决方案或补丁
4.openEuler-22.03-LTS-SP3(3.0.3):暂不修复-暂无解决方案或补丁
5.openEuler-22.03-LTS-SP4(3.0.3):暂不修复-暂无解决方案或补丁
6.openEuler-24.03-LTS(3.2.2):暂不修复-暂无解决方案或补丁
7.openEuler-24.03-LTS-Next(3.2.2):暂不修复-暂无解决方案或补丁
8.openEuler-24.03-LTS-SP1(3.2.2):暂不修复-暂无解决方案或补丁
9.openEuler-24.03-LTS-SP2(3.2.2):暂不修复-暂无解决方案或补丁
10.openEuler-24.03-LTS-SP3(3.2.2):暂不修复-暂无解决方案或补丁
11.openEuler-24.03-LTS-SP4(3.2.2):不受影响-漏洞代码不能被攻击者触发

likedislike
openeuler-ci-botopeneuler-ci-bot成员
2 天前 修改了issue 的描述
openeuler-ci-botopeneuler-ci-bot成员
2 天前 issue状态由 已挂起 改变为 待办的
openeuler-ci-bot
openeuler-ci-bot成员
2 天前 评论：

@ 经过 cve-manager 解析, 已分析的内容如下表所示:

状态 分析项目 内容
已分析 1.影响性分析说明 Ruby中发现了一个漏洞，Ruby解释器受到Marvin攻击的威胁。这种攻击允许攻击者通过与易受攻击的服务交换大量消息来解密先前加密的消息或伪造签名。
已分析 2.openEulerScore 7.4
已分析 3.openEulerVector AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
已分析 4.受影响版本排查 master:不受影响,openEuler-20.03-LTS-SP4:受影响,openEuler-22.03-LTS-SP1:受影响,openEuler-22.03-LTS-SP3:受影响,openEuler-22.03-LTS-SP4:受影响,openEuler-24.03-LTS:受影响,openEuler-24.03-LTS-Next:受影响,openEuler-24.03-LTS-SP1:受影响,openEuler-24.03-LTS-SP2:受影响,openEuler-24.03-LTS-SP3:受影响,openEuler-24.03-LTS-SP4:不受影响
已分析 5.是否涉及abi变化 master:否,openEuler-20.03-LTS-SP4:否,openEuler-22.03-LTS-SP1:否,openEuler-22.03-LTS-SP3:否,openEuler-22.03-LTS-SP4:否,openEuler-24.03-LTS-Next:否,openEuler-24.03-LTS-SP1:否,openEuler-24.03-LTS-SP2:否,openEuler-24.03-LTS:否,openEuler-24.03-LTS-SP3:否,openEuler-24.03-LTS-SP4:否
已分析 6.原因说明 master:不受影响-漏洞代码不能被攻击者触发,openEuler-20.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-22.03-LTS-SP4:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-Next:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP1:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP2:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP3:暂不修复-暂无解决方案或补丁,openEuler-24.03-LTS-SP4:不受影响-漏洞代码不能被攻击者触发

请确认分析内容的准确性, 确认无误后, 您可以进行后续步骤, 否则您可以继续分析.

likedislike