Ada sebuah kerentanan *escape sequence injection* pada *Basic authentication WEBrick* yang di-*bundle* oleh Ruby.
Kerentanan ini telah ditetapkan sebagai penanda [CVE-2017-10784](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-10784).

## Detail

Ketika menggunakan *Basic authentication WEBrick*, *client* dapat memberikan *string* apapun sebagai nama pengguna.
*WEBrick* mengeluarkan secara lengkap nama pengguna tersebut pada *log*-nya, kemudian seorang penyerang dapat menyisipkan *malicious escape sequence* ke *log* dan *control character* yang berbahaya sehingga mungkin dieksekusi pada terminal emulator korban.

Kerentanan ini mirip dengan [kerentanan yang telah diperbaiki](/en/news/2010/01/10/webrick-escape-sequence-injection/), tetapi bagian *Basic authentication* belum pernah diperbaiki.

Semua pengguna yang sedang menggunakan rilis yang terkena imbas sebaiknya memperbarui segera.

## Versi Terimbas

* rangkaian Ruby 2.2: 2.2.7 dan sebelumnya
* rangkaian Ruby 2.3: 2.3.4 dan sebelumnya
* rangkaian Ruby 2.4: 2.4.1 dan sebelumnya
* sebelum revisi *trunk* 58453

## Rujukan

Terima kasih kepada Yusuke Endoh <mame@ruby-lang.org> yang telah melaporkan masalah ini.

## Riwayat

* Semula dipublikasikan pada 2017-09-14 12:00:00 (UTC)