Ruby

RubyGems 多個安全性風險

由 hsbt 發表於 2019-03-05
翻譯： Vincent Lin

Ruby 內建的 RubyGems 發現帶有多個安全性風險。 RubyGems 官方部落格對此事的說明。

詳情

以下為已回報的安全性風險

  • CVE-2019-8320：解壓縮時 tar 時使用 symlink 刪除目錄。
  • CVE-2019-8321：verbose 中的轉義序列注入安全性風險。
  • CVE-2019-8322：gem owner 中的轉義序列注入安全性風險。
  • CVE-2019-8323：API 回應處理中的轉義序列注入安全性風險。
  • CVE-2019-8324：安裝惡意 gem 後導致任意程式碼被執行。
  • CVE-2019-8325：errors 中的轉義序列注入安全性風險。

強烈建議 Ruby 使用者儘速採用下列任一個因應措施。

受影響版本

  • Ruby 2.4 系列：2.4.5 以及之前的版本
  • Ruby 2.5 系列：2.5.3 以及之前的版本
  • Ruby 2.6 系列：2.6.1 以及之前的版本
  • trunk revision 67168 之前的版本

因應措施

RubyGems 2.7.9/3.0.3 及後續版本修正了上述風險，請將 RubyGems 升級至最新版。

gem update --system

若你無法升級 RubyGems，你可以使用補丁作為應急。

至於 trunk 則是更新到最新版本即可。

致謝

本文基於 RubyGems 官方部落格的這篇文章.

歷史

  • 初次發佈於 2019-03-05 00:00:00 UTC

最新消息

Ruby 4.0.3 發布

Ruby 4.0.3 已經發布了。本次發布只包含修復 CVE-2026-41316 的 ERB 6.0.1.1。

由 k0kubun 發表於 2026-04-21

Ruby 3.2.11 發布

Ruby 3.2.11 已經發布了。 本次發布包含 針對 CVE-2026-27820 的 zlib gem 更新。

由 hsbt 發表於 2026-03-27

Ruby 3.3.11 發布

Ruby 3.3.11 已經發布了。 本次發布包含 解決 zlib gem CVE-2026-27820 的更新，以及其他錯誤修復。

由 hsbt 發表於 2026-03-26

更多新聞...