Ruby – IoT OT Security News

Ruby のバックグラウンドに深刻な RCE 脆弱性 CVE-N/A：完全なシステム侵害の可能性

New Deserialization Vulnerability in Ruby Workers Could Enable Full System Compromise

2026/02/24 CyberSecurityNews — Ruby のバックグラウンド・ジョブ処理システムに、深刻なリモートコード実行 (RCE) 脆弱性 CVE-N/A が発見された。原因は安全ではない JSON デシリアライズであり、信頼できない入力データが実行可能なオブジェクトへと変換されてしまう。この問題は、Ruby 環境におけるデシリアライズの潜在的な危険性を示すものであり、たった一行のコードが、バックグラウンド・ワーカー・コンテキストで致命的なコマンド実行を引き起こす。

Ruby SAML ライブラリの脆弱性 CVE-2025-66567 (CVSS 10.0) が FIX：深刻な認証バイパス

Ruby SAML Library Vulnerability Let Attackers Bypass Authentication

2025/12/09 CyberSecurityNews — Ruby が公表したのは、SAML ライブラリに発見された深刻な脆弱性に関する情報である。この脆弱性を悪用する攻撃者は、影響を受けるアプリケーションの認証メカニズムを完全にバイパスする可能性がある。この脆弱性 CVE-2025-66567 が影響を及ぼす範囲はバージョン 1.12.4 以下であり、CVSS スコアは 10.0 (Critical) と評価されている。この脆弱性の原因は、以前に公表された脆弱性 CVE-2025-25292 に対する不完全な修正により、パーサーの解釈差による署名ラッピングが残ってしまった。

Ruby Gems を悪用した攻撃が発生：開発者のトークンやメッセージなどを窃取

Hackers Weaponize Ruby Gems To Exfiltrate Telegram Tokens and Messages

2025/06/04 CyberSecurityNews — RubyGems エコシステムを狙う巧妙なサプライチェーン攻撃が発生しているが、その背景には、ベトナムによる Telegram の全面的な禁止措置があるのかもしれない。この攻撃では、開発者の認証情報や通信内容を盗むために、Telegram の API 通信が攻撃者のインフラを経由するよう細工されている。このキャンペーンでは、正規の Fastlane プラグインを装う、２つのタイポスクワット Ruby gem が使用されている。それらの gem は、攻撃者が制御するインフラへと Telegram API のトラフィックを静かにリダイレクトし、Bot トークン／メッセージ内容／添付ファイルなどを収集する。

GraphQL-Ruby の脆弱性 CVE-2025-27407 (CVSS 9.1) が FIX：悪意のスキーマの取り込みと RCE

CVE-2025-27407 (CVSS 9.1): Critical GraphQL-Ruby Flaw Exposes Millions to RCE

2025/03/17 SecurityOnline — 人気の graphql-ruby gem に発見された深刻な脆弱性 CVE-2025-27407 により、何百万ものアプリケーションが、リモート・コード実行のリスクにさらされている。このライブラリのダウンロード数は 1億3,600万回を超え、広範囲で利用されているため、潜在的な影響の大きさが懸念されている。

ruby-saml の脆弱性 CVE-2025-25291／25292 が FIX：SAML 認証プロテクション回避の可能性

GitHub Uncovers New ruby-saml Vulnerabilities Allowing Account Takeover Attacks

2025/03/13 TheHackerNews — オープンソースの ruby-saml ライブラリに、深刻大度の高いセキュリティ上の２つの脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、Security Assertion Markup Language (SAML) 認証プロテクションを回避する可能性を手にする。

Ruby-SAML／GitLab の脆弱性 CVE-2024-45409 が FIX：認証バイパス PoC が登場

Researchers Detail Ruby-SAML/GitLab Flaw (CVE-2024-45409) Allows SAML Authentication Bypass

2024/10/06 SecurityOnline — GitLab の認証システムに不可欠な、Ruby-SAML／OmniAuth-SAML ライブラリに存在する深刻な脆弱性 CVE-2024-45409 が、ProjectDiscovery の Harsh Jaiswal と Rahul Maini による最近の調査で明らかになった。この脆弱性の悪用に成功した攻撃者は、SAML レスポンス検証の弱点を用いて SAML 認証をバイパスし、不正アクセスを取得する可能性を手にする。

Ruby-SAML の脆弱性 CVE-2024-45409 (CVSS 10.0) がFIX：認証バイパスの恐れ

CVE-2024-45409 (CVSS 10): Critical Ruby-SAML Flaw Leaves User Accounts Exposed

2024/09/11 SecurityOnline — クライアント側の SAML (Security Assertion Markup Language) 認証を実装するためのツール Ruby-SAML ライブラリに、深刻なセキュリティ脆弱性 CVE-2024-45409 (CVSS：10.0) が確認された。この脆弱性の悪用に成功した攻撃者は、Ruby-SAML を使用しているシステムの認証をバイパスし、ユーザー・アカウントへの不正アクセスの可能性を手にする。

Ruby RDoc の RCE 脆弱性 CVE-2024-27281 が FIX：直ちにアップデートを！

CVE-2024-27281: Critical Vulnerability Patched in Popular Ruby Documentation Tool

2024/03/29 SecurityOnline — 人気の Ruby 文書生成ツールである、RDoc に存在する脆弱性 CVE-2024-27281 に対処する緊急のセキュリティ・パッチが、Ruby 開発チームからリリースされた。この脆弱性の悪用に成功した攻撃者は、脆弱なバージョンの RDoc を使用しているシステム上で、リモート・コード実行を行うことが可能になる。

npm の悪意のパッケージの新たな動向：Kubernetes コンフィグと SSH キーを盗み出す

Fresh Wave of Malicious npm Packages Threaten Kubernetes Configs and SSH Keys

2023/09/20 TheHackerNews — 侵害済のマシンからリモート・サーバへ向けて、Kubernetes のコンフィグと SSH キーを流出させるようにデザインされた、悪意のパッケージを連携させる新たなバッチを、研究者たちが npm パッケージ・レジストリで発見した。Sonatype は、これまでに14種類の npm パッケージを発見したと発表した。具体的には、@am-fe/hooks、@am-fe/provider、@am-fe/request、@am-fe/utils、@am-fe/watermark、@am-fe/watermark-core、@dynamic-form-components/mui、@dynamic-form-components/shineout、@expue/app、@fixedwidthtable/fixedwidthtable、@soc-fe/use、@spgy/eslint-plugin-spgy-fe、@virtualsearchtable/virtualsearchtable、shineouts などである。

GitHub に追加された脆弱性スキャン：1.2k のリポジトリで２万件の脆弱性を発見

GitHub makes it easier to scan your code for vulnerabilities

2023/01/09 BleepingComputer — GitHub が新たに導入したオプションは、”default setup” と呼ばれるリポジトリのコード・スキャンを設定するものであり、開発者が数回クリックするだけで自動的にコードがスキャンされるという。GitHub のコード・スキャンを支える CodeQL コード解析エンジンは、多くの言語とコンパイラをサポートしているが、この新しいオプションは Python／JavaScript／Rubyのリポジトリに対してのみ表示される。Product Marketing Manager である Walker Chabbott によると、GitHub は今後６ヶ月間において、より多くの言語へのサポート拡大に取り組んでいくとのことだ。

Java／Rust／Kotlin のメモリセーフ機能：C／C++ と安全性を比較してみる

Shift to Memory-Safe Languages Gains Momentum

2022/12/07 DarkReading — 今週に、ソフトウェア・セキュリティの専門家たち発表したところによると、リモートからの悪用が可能で、野放し状態での攻撃の大部分に関与している、きわめて深刻な脆弱性のグループに対して、ソフトウェア業界は前進しているようだ。この脆弱性グループとは、いわゆるメモリ安全性の問題である。具体的には、バッファオーバーフロー／ユースアフターフリーなどを含むものであり、ソフトウェア会社が公表するアプリケーション・セキュリティ問題の大半を占めるものだ。今回の最新データでは、Java／C#／Rust などの、メモリ安全性の高い言語の使用が増加したことで、このクラスの脆弱性全体が急速に減少していることが示されている。

RubyGems でも MFA の運用がスタート：人気パッケージのメンテナに義務化

RubyGems Makes Multi-Factor Authentication Mandatory for Top Package Maintainers

2022/08/16 TheHackerNews — プログラミング言語 Ruby の公式パッケージ・マネージャである RubyGems は、NPM や PyPI に続くかたちで、人気のパッケージ・メンテナに対して多要素認証 (MFA) を義務付けるプラットフォームになった。そのため、総ダウンロード数が 1億8000万を超える gem の所有者は、2022年8月15日から MFA をオンにすることが義務付けられた。

Azure App Service の深刻な問題：４年間にわたり PHP／Ruby／Python／Node のソースが漏洩

4-Year-Old Bug in Azure App Service Exposed Hundreds of Source Code Repositories

202/12/22 TheHackerNews — Microsoft の Azure App Service におけるセキュリティ上の欠陥により、2017年9月から少なくとも４年間に渡り、Java／Node／PHP／Python／Ruby で書かれた、顧客アプリケーションのソースコードが公開されていたことが明らかになった。