可导致执行任意代码的安全漏洞 - Ruby 官方网站

2008-07-01

Ruby的多个漏洞可能导致拒绝服务(DoS)的情况，或者允许执行任意代码。

影响

通过以下漏洞，攻击者可以可能导致拒绝服务(DoS)的情况，或者允许执行任意代码。

• CVE-2008-2662
• CVE-2008-2663
• CVE-2008-2725
• CVE-2008-2726
• CVE-2008-2664

受影响的版本

1.8 系列

• 1.8.4 和所有之前的版本
• 1.8.5-p230 和所有之前的版本
• 1.8.6-p229 和所有之前的版本
• 1.8.7-p21 和所有之前的版本

1.9 系列

• 1.9.0-1 和所有之前的版本

解决办法

1.8 系列

请更新到 1.8.5-p231, 或者 1.8.6-p230, 或者 1.8.7-p22.

• <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-p231.tar.gz> (md5sum: e900cf225d55414bffe878f00a85807c)
• <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p230.tar.gz> (md5sum: 5e8247e39be2dc3c1a755579c340857f)
• <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p22.tar.gz> (md5sum: fc3ede83a98f48d8cb6de2145f680ef2)

1.9 系列

请更新到 1.9.0-2.

• <URL:https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.0-2.tar.gz> (md5sum: 2a848b81ed1d6393b88eec8aa6173b75)

这些版本同时也修正了WEBrick的安全漏洞 (CVE-2008-1891).

请注意一个修正这个漏洞的软件包可能已经可以通过你的软件包管理软件更新了。

贡献者

感谢 Apple Product Security 的 Drew Yao 为 Ruby Security Team 指出这个问题。

修订记录

• 2008-06-21 00:29 +09:00 removed wrong CVE IDs (CVE-2008-2727, CVE-2008-2728).