Ada sebuah kerentanan *command injection* pada Net::FTP yang di-*bundle* dengan Ruby.
Kerentanan ini telah ditetapkan dalam penanda CVE
[CVE-2017-17405](http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17405).

## Detail

`Net::FTP#get`, `getbinaryfile`, `gettextfile`, `put`, `putbinaryfile`, dan
`puttextfile` menggunakan `Kernel#open` untuk membuka sebuah berkas lokal.
Jika argumen `localfile` mulai dengan karakter pipa `"|"`, perintah yang
mengikuti karakter pipa tersebut dieksekusi. Nilai *default* dari `localfile`
adalah `File.basename(remotefile)`, sehingga *server* FTP yang berbahaya
dapat menyebabkan eksekusi perintah semaunya.

Semua pengguna yang menggunakan rilis yang terimbas seharusnya segera memperbarui.

## Versi Terimbas

* Rangkaian Ruby 2.2: 2.2.8 dan sebelumnya
* Rangkaian Ruby 2.3: 2.3.5 dan sebelumnya
* Rangkaian Ruby 2.4: 2.4.2 dan sebelumnya
* Rangkaian Ruby 2.5: 2.5.0-preview1
* sebelum revisi *trunk* r61242

## Pujian

Terima kasih kepada Etienne Stalmans dari Heroku *product security team* atas laporan masalah ini.

## Riwayat

* Semula dipublikasikan pada 2017-12-14 16:00:00 (UTC)