XMLRPC.iPIMethods 취약점

작성자: Shugo Maeda (2005-07-01)

2005년 6월 17일 금요일, XMLRPC.iPIMethods의 취약점이 [ruby-core:05237]에 보고되었습니다. 이 취약점을 통해 원격 공격자가 임의의 명령을 실행할 수 있습니다.

XMLRPC.iPIMethods를 사용하여 XML-RPC 서비스를 제공하는 프로그램이 영향을 받습니다.

이 취약점은 CVS HEAD와 ruby_1_8 브랜치 모두에서 이미 수정되었습니다.

ruby-1.8.2에는 다음 패치를 적용하세요.

--- ruby-1.8.2/lib/xmlrpc/utils.rb.orig 2003-08-15 02:20:14.000000000 +0900
+++ ruby-1.8.2/lib/xmlrpc/utils.rb      2005-07-01 16:33:19.243521736 +0900
@@ -138,7 +138,7 @@
 
     def get_methods(obj, delim=".")
       prefix = @prefix + delim
-      obj.class.public_instance_methods.collect { |name|
+      obj.class.public_instance_methods(false).collect { |name|
         [prefix + name, obj.method(name).to_proc, nil, nil] 
       }
     end