由 usa 发表于 2014-10-27
翻译: Ryan Jiang
我们在 Ruby 2.1.4、Ruby 2.0.0-p594 和 Ruby 1.9.3-p550 中更改了 ext/openssl 的默认设置,
根据这些设置,非安全的 SSL/TLS 选项默认情况下将被禁用。
尽管更改了这些默认设置,但 SSL 链接仍然有可能存在某些问题。
详情
根据过往经验,OpenSSL 至今仍在使用的协议及密文方式被认为是不安全的。
比如 POODLE 漏洞(CVE-2014-3566),如果你继续使用 OpenSSL 的这些不安全的特性,那么将可能无法保证你网络交互的安全性。
据此,根据 Bug #9424 的讨论, 我们决定默认禁用这些存在安全隐患的 SSL/TLS 选项。
如果你仍需保留这些特性(如下),请安装以下回退补丁。
- 2.1.4
- r48098
- 2.0.0-p594
- r48110
- 1.9.3-p550
- r48121
注意,回退这些更改将无法保证你的网络安全。
在你回退之前你应该了解此举可能带来的影响。
涉及到的 Ruby 包
这些更改体现在 net/http、net/imap 和 net/pop 模块中。
由于 DRb 和 WEBrick 独立于这些设置,因此这些更改将不会影响到他们。
直接使用到 ext/openssl 的代码
本次更新在通过实例化 OpenSSL::SSL::SSLContext
并且调用其实例方法 set_params
后亦将生效。
具体如以下代码:
如何在客户端使用 ext/openssl,我们认为此次变更不会带来任何影响。
但是如果你在服务端使用 ext/openssl,并且安装此次更改,那么一些陈旧的客户端(Windows XP 上的 Internet Explorer 6 浏览器或者老的手机浏览器)可能将无法连接到服务器。
你需要权衡利弊,然后决定是否安装本次更新,
解决方案
如果你无法升级 Ruby 但是你想禁用这些存在安全隐患的 SSL/TLS 选项,请直接应用以下猴子补丁。
受影响的版本
- Ruby 1.9.3 patchlevel 550 和之后的版本
- Ruby 2.0.0 patchlevel 594 和之后的版本
- Ruby 2.1.4 以后的版本
- 主干 revision 48097 之后的版本
历史记录
- 首次发布于 2014-10-27 12:00:00 (UTC)