Archiv für März 2018

Ruby 2.5.1 veröffentlicht

Ruby 2.5.1 ist veröffentlicht worden.

Geschrieben von naruse am 28.3.2018

Ruby 2.4.4 veröffentlicht

Ruby 2.4.4 ist veröffentlicht worden.

Geschrieben von nagachika am 28.3.2018

Ruby 2.3.7 veröffentlicht

Ruby 2.3.7 ist veröffentlicht worden.

Geschrieben von usa am 28.3.2018

Ruby 2.2.10 veröffentlicht

Ruby 2.2.10 ist veröffentlicht worden. Es handelt sich um eine Veröffentlichung zum Zwecke der Behebung diverser Sicherheitslücken. Siehe unten für weitere Details.

Geschrieben von usa am 28.3.2018

CVE-2018-6914: Unbeabsichtigte Datei- und Verzeichniserstellung sowie Directory Traversal in Tempfile und Tmpdir

Es gibt ein Sicherheitsproblem mit der in Ruby enthaltenen tmpdir-Bibliothek, das zur Erzeugung unerwünschter Verzeichnisse führen kann. Ebenso kann es bei Verwendung der tempfile-Bibliothek zur Erzeugung unerwünschter Dateien kommen, da diese Bibliothek intern tmpdir benutzt. Die Schwachstelle trägt die CVE-Nummer CVE-2018-6914.

Geschrieben von usa am 28.3.2018

CVE-2018-8779: Fehlerhafte Socket-Erstellung durch NUL-Byte in UNIXServer und UNIXSocket

Die in Ruby enthaltene Methode UNIXServer.open erstellt Sockets fehlerhaft, außerdem kann man UNIXSocket.open dazu bewegen, andere als die gewünschten Sockets zu öffnen. Die Schwachstellen führen die CVE-Nummer CVE-2018-8779.

Geschrieben von usa am 28.3.2018

CVE-2018-8780: Unbeabsichtigte Dir Traversal durch NUL-Byte in Dir

Einige Methoden in Dir tasten ungewollt Verzeichnisse ab. Diese Sicherheitslücke wird unter der CVE-Nummer CVE-2018-8780 geführt.

Geschrieben von usa am 28.3.2018

CVE-2018-8777: DoS-Angriff durch große Anfrage an WEBrick

Der in Ruby enthaltene WEBrick verbraucht den gesamten Arbeitsspeicher, wenn man ihm eine große Anfrage schickt. Dieser Schwachstelle wurde die CVE-Nummer CVE-2018-8777 zugewiesen.

Geschrieben von usa am 28.3.2018

CVE-2017-17742: HTTP-Antwortveränderung in WEBrick

In dem in Ruby enthaltenen WEBrick ist eine Sicherheitslücke entdeckt worden, die zur Veränderung von HTTP-Antworten genutzt werden kann. Man hat dieser Sicherheitslücke die CVE-Nummer CVE-2017-17742 zugewiesen.

Geschrieben von usa am 28.3.2018