CVE-2019-16255：Shell#[] 和 Shell#test 存在代碼注入風險

由 mame 發表於 2019-10-01
翻譯： JuanitoFatas

標準函式庫 (lib/shell.rb) 的 Shell#[] 和 Shell#test 存在代碼注入風險。此風險的識別號為 CVE-2019-16255。

細節

lib/shell.rb 定義的 Shell#[] 與其別名方法 Shell#test 第一個參數（”command” 參數）是允許代碼注入的不可信任資料。攻擊者可以利用此參數來呼叫任意的 Ruby 方法。

注意，一般來說傳入不可信任資料給任何 Shell 的方法都是危險的。請不要這麼做。但我們將這個問題視為風險是因為 Shell#[] 及 Shell#test 常被用來做檔案測試。

建議所有使用受影響版本的使用者儘速升級。

受影響的版本

• 所有 Ruby 2.3 及更早版本
• Ruby 2.4 系列： Ruby 2.4.7 及更早版本
• Ruby 2.5 系列： Ruby 2.5.6 及更早版本
• Ruby 2.6 系列： Ruby 2.6.4 及更早版本
• Ruby 2.7.0-preview1

致謝

感謝 ooooooo_q 發現此問題。

歷史

• 最早發佈於 2019-10-01 11:00:00 (UTC)