Ruby Security Vulnerabilities
Tiago Macedo
Como já devem ter lido, foram descobertas uma série de vulnerabilidades
de segurança em todas as versões estáveis de Ruby:
http://www.ruby-lang.org/en/news/2008/06/20/arbitrary-code-execution-vulnerabilities/
http://weblog.rubyonrails.org/2008/6/21/multiple-ruby-security-vulnerabilities
Vulnerable versions
1.8 series
* 1.8.4 and all prior versions
* 1.8.5-p230 and all prior versions
* 1.8.6-p229 and all prior versions
* 1.8.7-p21 and all prior versions
1.9 series
* 1.9.0-1 and all prior versions
Já foram lançadas versões corrigidas mas todas elas causam problemas com
algumas bibliotecas, nomeadamente Rails e Rspec (possível excepção entre
rails2.1 e ruby 1.9.0-1). Dado que a maioria das aplicações Rails não
pode correr com Ruby 1.9 e as versões de 1.8 corrigidas causam todas
problemas houve quem decidisse fazer o backport dos security fixes:
Para os interessados:
patch para 1.8.6p111:
http://blog.phusion.nl/assets/r8ee-security-patch-20080623-2.txt
patch para 1.8.6p114:
http://takk.webreakstuff.com/~tmacedo/r8ee-security-patch-20080623-2-1.8.6p114.txt
ebuild (gentoo) 1.8.6p114:
http://takk.webreakstuff.com/~tmacedo/ruby-1.8.6_p114-r1.ebuild
Testei a versão corrigida do 1.8.6p114 com Rails 1.2, 2.0 e 2.1 sem
quaisquer problemas.
Tiago Macedo
anselmo silva
É aconselhável apenas para ambientes de produção onde exista realmente risco de segurança.
- Para quem está em ambiente de desenvolvimento, não actualize, é melhor esperar por algo mais concreto ( new ruby version ).
- Para quem tem OSX, esperem por um "system update", para resolver este problema automaticamente.
- Para que está com apache_mod_rails => ( aka phusion-passenger, ruby enterprise edittion), façam o update ao gem. As correcções de segurança estão incluidas sem quebras de compatibilidade,
Cheers
--
Anselmo Silva
André Medeiros
Para quem quiser saber o que foi alterado e corrigido:
http://zedshaw.com/rants/the_big_ruby_vulnerabilities.html
O gajo dá um "twist" irónico e irado à coisa, por isso é uma leitura
interessante ;)
Penso, portanto, que actualizar apenas o mod_rails é, como se costuma
dizer, tapar o sol com a peneira.
Boa sorte.
2008/6/26 anselmo silva <ansel...@gmail.com>:
Pedro Sousa
hehe, ele teve mesmo a mostrar o código e a apontar o dedo. :P
o Zed já tinha avisado sobre alguns problemas nas classes
identificadas e já é meio conhecido o
seu descontentamento com a passividade da equipa core ruby no que toca
a incluir algumas correcções.
Pode ser que a coisa mude agora.
Pedro
On Jun 28, 4:34 am, "André Medeiros" <andre.c...@gmail.com> wrote:
> Bom,
>
> Para quem quiser saber o que foi alterado e corrigido:
>
> http://zedshaw.com/rants/the_big_ruby_vulnerabilities.html
>
> O gajo dá um "twist" irónico e irado à coisa, por isso é uma leitura
> interessante ;)
>
> Penso, portanto, que actualizar apenas o mod_rails é, como se costuma
> dizer, tapar o sol com a peneira.
>
> Boa sorte.
>
> > Railers, Atenção aos patches, pois podem trazer algumas/grandes dores de
> > cabeça.
>
> > É aconselhável apenas para ambientes de produção onde exista realmente risco
> > de segurança.
>
> > - Para quem está em ambiente de desenvolvimento, não actualize, é melhor
> > esperar por algo mais concreto ( new ruby version ).
> > - Para quem tem OSX, esperem por um "system update", para resolver este
> > problema automaticamente.
> > - Para que está com apache_mod_rails => ( aka phusion-passenger, ruby
> > enterprise edittion), façam o update ao gem. As correcções de segurança
> > estão incluidas sem quebras de compatibilidade,
>
> > Cheers
>
> >> Boas,
>
> >> Como já devem ter lido, foram descobertas uma série de vulnerabilidades
> >> de segurança em todas as versões estáveis de Ruby:
>
>
> >>http://weblog.rubyonrails.org/2008/6/21/multiple-ruby-security-vulner...
> >> Vulnerable versions
>
> >> 1.8 series
>
> >> * 1.8.4 and all prior versions
> >> * 1.8.5-p230 and all prior versions
> >> * 1.8.6-p229 and all prior versions
> >> * 1.8.7-p21 and all prior versions
>
> >> 1.9 series
>
> >> * 1.9.0-1 and all prior versions
>
> >> Já foram lançadas versões corrigidas mas todas elas causam problemas com
> >> algumas bibliotecas, nomeadamente Rails e Rspec (possível excepção entre
> >> rails2.1 e ruby 1.9.0-1). Dado que a maioria das aplicações Rails não
> >> pode correr com Ruby 1.9 e as versões de 1.8 corrigidas causam todas
> >> problemas houve quem decidisse fazer o backport dos security fixes:
>
> >> Para os interessados:
>
> >> patch para 1.8.6p111:
> >>http://blog.phusion.nl/assets/r8ee-security-patch-20080623-2.txt
> >> patch para 1.8.6p114:
>