由 mame 發表於 2019-10-01
翻譯： JuanitoFatas
標準函式庫 (lib/shell.rb) 的 Shell#[] 和 Shell#test 存在代碼注入風險。此風險的識別號為 CVE-2019-16255。
細節
lib/shell.rb 定義的 Shell#[] 與其別名方法 Shell#test 第一個參數（”command” 參數）是允許代碼注入的不可信任資料。攻擊者可以利用此參數來呼叫任意的 Ruby 方法。
注意，一般來說傳入不可信任資料給任何 Shell 的方法都是危險的。請不要這麼做。但我們將這個問題視為風險是因為 Shell#[] 及 Shell#test 常被用來做檔案測試。
建議所有使用受影響版本的使用者儘速升級。
受影響的版本
- 所有 Ruby 2.3 及更早版本
- Ruby 2.4 系列： Ruby 2.4.7 及更早版本
- Ruby 2.5 系列： Ruby 2.5.6 及更早版本
- Ruby 2.6 系列： Ruby 2.6.4 及更早版本
- Ruby 2.7.0-preview1
致謝
感謝 ooooooo_q 發現此問題。
歷史
- 最早發佈於 2019-10-01 11:00:00 (UTC)