Lỗ hổng XMLRPC.iPIMethods

Đăng bởi Shugo Maeda vào 1 Jul 2005

Vào Thứ Sáu ngày 17 tháng 6 năm 2005, một lỗ hổng của XMLRPC.iPIMethods đã được báo cáo trong [ruby-core:05237]. Kẻ tấn công từ xa có thể thực thi các lệnh tùy ý thông qua lỗ hổng này.

Các chương trình bị ảnh hưởng

Các chương trình cung cấp dịch vụ XML-RPC qua XMLRPC.iPIMethods bị ảnh hưởng.

Sửa lỗi

Lỗ hổng này đã được sửa trong cả CVS HEAD và nhánh ruby_1_8.

Vui lòng áp dụng bản vá này cho ruby-1.8.2.

www.ruby-lang.org/patches/ruby-1.8.2-xmlrpc-ipimethods-fix.diff

--- ruby-1.8.2/lib/xmlrpc/utils.rb.orig 2003-08-15 02:20:14.000000000 +0900
+++ ruby-1.8.2/lib/xmlrpc/utils.rb      2005-07-01 16:33:19.243521736 +0900
@@ -138,7 +138,7 @@

    def get_methods(obj, delim=".")
       prefix = @prefix + delim
-      obj.class.public_instance_methods.collect { |name|
+      obj.class.public_instance_methods(false).collect { |name|
         [prefix + name, obj.method(name).to_proc, nil, nil]
       }
     end