Ruby

RubyGems 多個安全性風險

由 hsbt 發表於 2019-03-05
翻譯： Vincent Lin

Ruby 內建的 RubyGems 發現帶有多個安全性風險。 RubyGems 官方部落格對此事的說明。

詳情

以下為已回報的安全性風險

  • CVE-2019-8320：解壓縮時 tar 時使用 symlink 刪除目錄。
  • CVE-2019-8321：verbose 中的轉義序列注入安全性風險。
  • CVE-2019-8322：gem owner 中的轉義序列注入安全性風險。
  • CVE-2019-8323：API 回應處理中的轉義序列注入安全性風險。
  • CVE-2019-8324：安裝惡意 gem 後導致任意程式碼被執行。
  • CVE-2019-8325：errors 中的轉義序列注入安全性風險。

強烈建議 Ruby 使用者儘速採用下列任一個因應措施。

受影響版本

  • Ruby 2.4 系列：2.4.5 以及之前的版本
  • Ruby 2.5 系列：2.5.3 以及之前的版本
  • Ruby 2.6 系列：2.6.1 以及之前的版本
  • trunk revision 67168 之前的版本

因應措施

RubyGems 2.7.9/3.0.3 及後續版本修正了上述風險，請將 RubyGems 升級至最新版。

gem update --system

若你無法升級 RubyGems，你可以使用補丁作為應急。

至於 trunk 則是更新到最新版本即可。

致謝

本文基於 RubyGems 官方部落格的這篇文章.

歷史

  • 初次發佈於 2019-03-05 00:00:00 UTC

最新消息

Ruby 4.0.0 發布

我們很高興宣布 Ruby 4.0.0 發布了。 Ruby 4.0 導入了 Ruby::Box 和 “ZJIT”，以及許多改進功能。

由 naruse 發表於 2025-12-25

Ruby 文件的新樣貌

繼重新設計 ruby-lang.org 之後，我們還有更多消息來慶祝 Ruby 誕生 30 週年： docs.ruby-lang.org 採用了 Aliki—RDoc’s 的全新預設主題。

由 Stan Lo 發表於 2025-12-23

重新設計我們的網站形象

我們很興奮地宣布網站進行了全面改版。這次更新的設計方案是由 Taeko Akatsuka 負責創作。

由 Hiroshi SHIBATA 發表於 2025-12-22

更多新聞...