Ruby Lang PL

Odkryto lukę "Escape Sequence Injection" w WEBrick'u

Wed, 13 Jan 2010 22:02:59 GMT

Odkryto lukę bezpieczeństwa w serwerze WEBrick, który jest częścią biblioteki standardowej Rubiego. WEBrick umożliwia atakującemu wstrzyknięcie niebezpiecznych sekwencji znaków do logów serwera. W wyniku tego niebezpieczne znaki sterujące mogą zostać wykonane w terminalu ofiary.

Mamy już przygotowaną łatkę, wkrótce zostaną wydane uaktualnienia wszystkich aktywnych gałęzi Rubiego. W międzyczasie zalecamy aby nie przeglądać logów WEBrick'a.

Szczegółowy opis

Znaki specjalne terminala używane są do interakcji pomiędzy terminalem a procesem w nim działającym. . Problem w tym, że zakłada się, że sekwencje tych znaków pochodzą z zaufanych źródeł a nie na przykład z sieci. Jeśli więc możliwe byłoby wstrzyknięcie specjalnie przygotowanej sekwencji znaków do logów serwera WEBrick, którą potencjalna ofiara otworzyłaby w terminalu, atakujący mógłby wykorzystać pewne problemy dotyczące bezpieczeństwa w terminalach.

WEBrick nie filtruje wyżej wspomnianych specjalnych sekwencji znaków.

Przykład:

% xterm -e ruby -rwebrick -e 'WEBrick::HTTPServer.new(:Port=>8080).start' &
% wget http://localhost:8080/%1b%5d%32%3b%6f%77%6e%65%64%07%0a

Obserwuj tytuł okienka xterm.

Wersje Rubiego, których ten problem dotyczy

Ruby 1.8.6 patchlevel 383 i wszystkie poprzednie wersje
Ruby 1.8.7 patchlevel 248 i wszystkie poprzednie wersje
Wersje deweloperskie Ruby 1.8 (1.8.8dev)
Ruby 1.9.1 patchlevel 376 i wszystkie poprzednie wersje
Wersje deweloperskie Ruby 1.9 (1.9.2dev)

Poprawki

Poprawki dla 1.8.6, 1.8.7, oraz 1.9.1 znajdują się poniżej.
- 1.8.7 patch-level 249 naprawia ten problem. Użytkowników 1.8.7 zachęca się do aktualizacji.
- 1.9.1 patch-level 378 naprawia ten problem. Użytkowników 1.9.1 zachęca się do aktualizacji.
- 1.8.6 patch-level 388 naprawia ten problem. Użytkowników 1.8.6 zachęca się do aktualizacji.
Wersje deweloperskie prosimy zaktualizować do najnowszej wersji.

Podziękowania

Podziekowania należą się Giovanni "evilaliv3" Pellerano, Alessandro "jekil" Tanasi, oraz Francesco "ascii" Ongaro za odkrycie tej luki.

Wydano Ruby 1.8.7-p248

Wed, 13 Jan 2010 21:39:00 GMT

25 grudnia 2009 roku wydano Ruby 1.8.7-p248. Wersja do pobrania z poniższych lokalizacji:

Szczegóły zmian w ChangeLog'u .

Sumy kontrolne:

MD5(ruby-1.8.7-p248.tar.gz)= 60a65374689ac8b90be54ca9c61c48e3
SHA256(ruby-1.8.7-p248.tar.gz)= 5c9cd617a2ec6b40abd7c7bdfce3256888134482b22f933a061ae18fb4b48755
SIZE(ruby-1.8.7-p248.tar.gz)= 4831010

MD5(ruby-1.8.7-p248.tar.bz2)= 37e19d46b7d4b845f57d3389084b94a6
SHA256(ruby-1.8.7-p248.tar.bz2)= 3d238c4cf0988797d33169ab05829f1a483194e7cacae4232f3a0e2cc01b6bfc
SIZE(ruby-1.8.7-p248.tar.bz2)= 4153123

MD5(ruby-1.8.7-p248.zip)= 819b9db9bcd4aa9a70f1193380a318c9
SHA256(ruby-1.8.7-p248.zip)= c133ecf35d5509e61443db05c9691bea6c6f63b87600a452b742014767bd98b3
SIZE(ruby-1.8.7-p248.zip)= 5889980

RuPy 2009 - Strongly Dynamic Conference

Fri, 17 Jul 2009 23:23:20 GMT

RuPy, to międzynarodowa konferencja, która skupia się na nowoczesnych językach skryptowych, takich jak Python i Ruby. Dzięki temu połączeniu, powstała niezwykle ciekawa i interesująca impreza, której trzecia edycja odbędzie się wczesną zimną.

W tym roku organizatorzy zapraszają nas do Poznania w dniach 7-8 listopada. Prelekcje zostaną poprowadzone m.in. przez znane osoby ze świata Pythona, Rubiego czy Grooviego. Swoje wystąpienia zapowiedzieli już: Obie Fernandez i Tarek Ziade.

Call for papers: Zespół sprawujący pieczę nad przygotowaniami do konferencji nie zapomniał również o chętnych prelegentach. Jeżeli wierzysz we własne siły i czujesz, że Twój temat zainteresuje większą grupę ludzi, dołącz do speakerów.., którzy będą tworzyli wizerunek tegorocznej edycji RuPy 2009!

Luka bezpieczeństwa w BigDecimal

Thu, 11 Jun 2009 21:09:09 GMT

W bibliotece standardowej BigDecimal znaleziono lukę bezpieczeństwa. Konwersja z BigDecimal na Float zawiera problem, który umożliwia atakującemu wywołanie "segmentation fault".

ActiveRecord polega na tej metodzie więc większość aplikacji Rails jest dotknięta tym problemem (chociaż nie jest on spowodowany przez kod Rails).

Impakt

Atak "odmowy dostępu" można wywołać wysyłając bardzo dużą liczbę do BigDecimal do sparsowania, np:

BigDecimal("9E69999999").to_s("F")

Wersje Ruby dotknięte tym problemem

wersja 1.8

1.8.6-p368 oraz wszystkie poprzednie wersje
1.8.7-p160 oraz wszystkie poprzednie wersje

wersja 1.9

Wszystkie wersje 1.9.1 NIE są dotknięte tym problemem

Rozwiązanie problemu

wersja 1.8

Zaleca się aktualizację do wersji 1.8.6-p369 lub ruby-1.8.7-p173.

Wydano Ruby 1.8.7-p160 oraz 1.8.6-p368

Sat, 18 Apr 2009 22:53:53 GMT

Wydano akutalizację do Ruby w wersjach 1.8.7 oraz 1.8.6.

Tym razem poprawiono kilkanaście błędów włączając poprawki do CVE-2007-1558 oraz CVE-2008-1447. Poprawiono również wiele segfault'ów. Kompletna lista wszystkich poprawek znajduje się w Changelog'ach.

Zaktualizowany kod źródłowy można pobrać z:

Sumy kontrolne: MD5(ruby-1.8.6-p368.tar.gz)= 508bf1911173ac43e4e6c31d9dc36b8f SHA256(ruby-1.8.6-p368.tar.gz)= cc8cad3edd02d8c2de3c63a7d8a5cb85af39766dd47360a9c0f26339b101e2a0 SIZE(ruby-1.8.6-p368.tar.gz)= 4602095 MD5(ruby-1.8.6-p368.tar.bz2)= 623447c6d8c973193aae565a5538ccfc SHA256(ruby-1.8.6-p368.tar.bz2)= 1bd398a125040261f8e9e74289277c82063aae174ada9f300d2bea0a42ccdcc1 SIZE(ruby-1.8.6-p368.tar.bz2)= 3967709 MD5(ruby-1.8.6-p368.zip)= 3d301a4b1aded1922570585bbece2c29 SHA256(ruby-1.8.6-p368.zip)= 8ba4bfd14d2914bfe2c18ffa9da084234be978fd0eee654f7a5c732a1beb0246 SIZE(ruby-1.8.6-p368.zip)= 5619494 MD5(ruby-1.8.7-p160.tar.gz)= 945398f97e2de6dd8ab6df68d10bb1a1 SHA256(ruby-1.8.7-p160.tar.gz)= 47c3d1ae6b3dbda230d04f258304516fc1da571fa757d5e1d8d0104b49045530 SIZE(ruby-1.8.7-p160.tar.gz)= 4818817 MD5(ruby-1.8.7-p160.tar.bz2)= f8ddb886b8a81cf005f53e9a9541091d SHA256(ruby-1.8.7-p160.tar.bz2)= e524a086212d2142c03eb6b82cd602adcac9dcf8bf60049e89aa4ca69864984d SIZE(ruby-1.8.7-p160.tar.bz2)= 4137518 MD5(ruby-1.8.7-p160.zip)= 06319bafa225df47fe26dfb52bc174a7 SHA256(ruby-1.8.7-p160.zip)= c56fefbb9e7e186bf9feeb864793ad2a53062ce871b47ab0170316e38f738995 SIZE(ruby-1.8.7-p160.zip)= 5876269 The ChangeLogs are bundled into those tarballs, and also available at the following locations: * http://svn.ruby-lang.org/repos/ruby/tags/v1_8_6_368/ChangeLog * http://svn.ruby-lang.org/repos/ruby/tags/v1_8_7_160/ChangeLog

MountainWest RubyConf 2009

Wed, 04 Feb 2009 11:55:44 GMT

Już niedługo, bo 13 i 14 Marca 2009 roku, w Salt Lake City, Utah, USA odbędzie się konferencja związana bezpośredni z językiem Ruby. Rejestracja na nią jest nadal otwarta i kosztuje jedynie 100$(około 330 zł) za dwa dni. Jest to świetna okazja, aby zapoznać się z najbardziej obeznanymi ludzi w tymże języku.

Lista prezenterów i tematów przez nich wygłaszanych jest dość pokaźna:

James Edward Gray II – LittleBIGRuby
Jim Weirich – The Building Blocks of Modularity
Jeremy McAnally – Jive Talkin’: DSL Design and Construction
Jeremy Evans – Sequel
James Britt – Wii Ruby: All work and no play just won’t do.
Adam Blum – Rhodes: The Open Source Ruby Framework for Building Mobile Applications
Jeremy Hinegardner – FFI
Ben Mabey – Outside-In Development with Cucumber
Kirk Haines – Vertebra
Brian Marick – Test-driving GUIs (with RubyCocoa)
Alan Whitaker – La Dolce Vita Rubyista
Jon Crosby – In a World of Middleware, Who Needs Monolithic Applications?
Philippe Hanrigou – What The Ruby Craftsman Can Learn From The Smalltalk Master
Adam Dunford & Jason Edwards – Improving the Usability of Your Ruby on Rails Applications
David Brady – TourBus
Daniel Philpott – Herding Tigers – Software Development and the Art of War
Paul Sadauskas – Writing Adapters for DataMapper
Jay Phillips – Adhearsion
Yehuda Katz – The Great Rails Refactor
Andrew Shafer – Practical Puppet: Systems Building Systems’

Więcej informacji znajdziecie na stronie rubyconf.

Szkocja on Rails 2009

Wed, 04 Feb 2009 11:27:12 GMT

W dniach 26-28 w Edynburgu w Szkocji odbędzie się konferencja poświęcona językowi Ruby. Rejestracja na konferencję jest płatna i wynosi jedynie 150 funtów (około 692,16 zł), jeżeli zarejestrujesz się do 8 lutego 2009 roku. Po tym terminie koszt wzrośnie do 175 funtów (około 807,52 zł).

Lista wykładowców jest ogromna:

Chad Fowler and Marcel Molina, Jr
Marcel Molina, Jr.
Scott Chacon
Jim Remsik
Jim Weirich
Alexander Lang
Yehuda Katz
Evan Light
Bruce Scharlau
Joseph Wilk
Kevin McDonagh
Eric Smith
Abdel A Saleh
Kevin Barnes
Scott Raymond
Michael Feathers
Aaron Quint
Rory McCune
Pat Maddox
Jonathan Weiss
Dave Thomas
Fernand Galiana
George Palmer
Steven A Bristol
Hendrik Volkmer
Cory Forsyth
Jeremy Hinegardner
Joe O’Brien and Jim Weirich
Steven Baker

Pełną listę wraz z tematami wykładów znajdziecie tutaj.

Więcej na stronie scotlandonrails.com .

Konferencja EURUKO 2008

Mon, 25 Feb 2008 16:39:57 GMT

EURUKO jest europejską konferencją poświęconą Rubiemu. W tym roku konferencja odbędzie się w Pradze, 29 i 30 Marca 2008

Na liście zaproszonych znajdują się: Matz, Why The Lucky Stiff, Charles Nutter, DHH, Dr. Nic i inni. Zapowiada się ciekawie.

Wyłączenie repozytorium CVS

Thu, 01 Mar 2007 17:33:40 GMT

Usługi CVS (włączjąc CVSup i CVSweb) zostaną wyłączone na stałe poczynając od 16 Marca 2007. Repozytorium z kodem zostało przeniesione na SVN

Jeśli potrzebujesz dostępu przez CVS do rezpozytorium, pobierz je przez CVSup przed 16 Marca 2007.

Repozytorium CVS przeniesione na SVN

Wed, 10 Jan 2007 18:11:52 GMT

Kod źródłowy Rubiego został przeniesiony do repozytorium SVN http://svn.ruby-lang.org/repos/ruby/. Możesz pobrać źródła przy uzyciu polecenia svn lub przeglądać kod za pomocą ViewVC.

Serwer na którym stoi svn.ruby-lang.org został dostarczony przez Sun Microsystems . Korzystamy z systemu operacyjnego Solaris 10 na nowym serwerze, działa całkiem dobrze.