ruby-langの最新ニュース

プラットフォームメンテナ募集のお知らせ

Wed, 20 Aug 2008 06:34:27 GMT

Rubyコア開発陣はいくつかのプラットフォームにおけるRuby 1.9のメンテナを募集しています。

メンテナを募集しているプラットフォーム

cygwin
Interix
Itanium platforms (Windows, GNU/Linux, ...)
PPC platforms
x64 GNU/Linux
*BSD
BeOS (Haiku)
OpenVMS
WinCE
OS/2
bcc32
Classic MacOS

メンテナにお願いしたいのは次の内容です。

ruby-core@ruby-lang.org と ruby-dev@ruby-lang.org を購読する
そのプラットフォームが pthread 実装を持っていない場合は thread_{win32, pthread}.c を移植する。
その他のビルドエラーやプラットフォーム固有の問題を解決する
日々Rubyのtrunkをビルド・テストする
12月20日までに"make test-all"に成功するように努力する

もしお願いできますなら、ruby-dev@ruby-lang.org にメールを送って立候補してください。

危機に瀕するプラットフォーム

次のプラットフォームではかつてRubyがメンテナンスされていましたが今はされていません。誰かがメンテナにならない限りRuby 1.9はそのプラットフォームでは動作しなくなるでしょう。

OpenVMS
WinCE
OS/2
Classic MacOS
bcc32
djgpp
human68k

参考

[ruby-list:45267] [ANN] Ruby 1.9.0-3リリース
[ruby-list:45345] 「サポートレベル」の定義、1.9.1のサポート予定プラットフォーム、メンテナ募集

Ruby 1.8.7-p72 / 1.8.6-p287 リリース

Mon, 11 Aug 2008 02:17:19 GMT

Ruby 1.8.7-p72 / 1.8.6-p287がリリースされました。前回のリリースの修正は不完全で、新しいリリースは以前にアナウンスされたdlの脆弱性の修正を含んでいます。

リリースされたソースアーカイブは以下から入手できます。

チェックサム:

MD5(ruby-1.8.6-p287.tar.gz)= f6cd51001534ced5375339707a757556
SHA256(ruby-1.8.6-p287.tar.gz)= 6463d1932c34ff72b79174ac7d2c28940d29d147928250928a00a0dbee43db57
SIZE(ruby-1.8.6-p287.tar.gz)= 4590393

MD5(ruby-1.8.6-p287.tar.bz2)= 80b5f3db12531d36e6c81fac6d05dda9
SHA256(ruby-1.8.6-p287.tar.bz2)= ac15a1cb78c50ec9cc7e831616a143586bdd566bc865c6b769a0c47b3b3936ce
SIZE(ruby-1.8.6-p287.tar.bz2)= 3956902

MD5(ruby-1.8.6-p287.zip)= e555d51f5b387fdd52ae53d9bafa13f5
SHA256(ruby-1.8.6-p287.zip)= 844c66c015565839531a34b83e0526cd4fa2a71cc0f5cc8ddb0d4c158403543a
SIZE(ruby-1.8.6-p287.zip)= 5606238

MD5(ruby-1.8.7-p72.tar.gz)= 5e5b7189674b3a7f69401284f6a7a36d
SHA256(ruby-1.8.7-p72.tar.gz)= e15ca005076f5d6f91fc856fdfbd071698a4cadac3c6e25855899dba1f6fc5ef
SIZE(ruby-1.8.7-p72.tar.gz)= 4805594

MD5(ruby-1.8.7-p72.tar.bz2)= 0b215c46b89b28d7ab8d56d96e72d5b9
SHA256(ruby-1.8.7-p72.tar.bz2)= a8f8a28e286dd76747d8e97ea5cfe7a315eb896906ab8c8606d687d9f6f6146e
SIZE(ruby-1.8.7-p72.tar.bz2)= 4127450

MD5(ruby-1.8.7-p72.zip)= b44fe5a12d4bf138ba0d3660e13a8216
SHA256(ruby-1.8.7-p72.zip)= 77e67be4aa8c3e041e1d20d24e5fcf2e33ad9bccb3da3332b6c0a5b648334903
SIZE(ruby-1.8.7-p72.zip)= 5855902

変更点のリストは同梱のChangeLogを参照してください。以下のURLでも閲覧できます。

Rubyに複数の脆弱性

Fri, 08 Aug 2008 02:59:40 GMT

Rubyに複数の脆弱性が発見されました。最新バージョンへのアップグレードを推奨します。

詳細

以下のような脆弱性が発見されました。

セーフレベルの脆弱性

セーフレベルにいくつかの脆弱性が発見されました。

untrace_varがセーフレベル4で実行可能です。

trace_var(:$VAR) {|val| puts "$VAR = #{val}" }

Thread.new do
 $SAFE = 4
 eval %q{
   proc = untrace_var :$VAR
   proc.first.call("aaa")
 }
end.join

$PROGRAM_NAMEがセーフレベル4で変更可能です。

Thread.new do
 $SAFE = 4
 eval %q{$PROGRAM_NAME.replace "Hello, World!"}
end.join

$PROGRAM_NAME #=> "Hello, World!"

安全でないメソッドがセーフレベル1〜3で呼び出される可能性があります。

class Hello
 def world
   Thread.new do
     $SAFE = 4
     msg = "Hello, World!"
     def msg.size
       self.replace self*10 # replace string
       1 # return wrong size
     end
     msg
   end.value
 end
end

$SAFE = 1 # or 2, or 3
s = Hello.new.world
if s.kind_of?(String)
 puts s if s.size < 20 # print string which size is less than 20
end

Syslogの操作がセーフレベル4で実行可能です。

require "syslog"

Syslog.open

Thread.new do
 $SAFE = 4
 eval %q{
   Syslog.log(Syslog::LOG_WARNING, "Hello, World!")
   Syslog.mask = Syslog::LOG_UPTO(Syslog::LOG_EMERG)
   Syslog.info("masked")
   Syslog.close
 }
end.join

これらの脆弱性は山口慶太さんによって報告されました。

WEBrickのDoS脆弱性

WEBrick::HTTP::DefaultFileHandlerには、 WEBrick::HTTPUtils.split_header_valueの正規表現のバックトラックのため、リクエストの処理に指数関数的時間を要する欠陥があります。

攻撃可能なサーバの例:

require 'webrick'
WEBrick::HTTPServer.new(:Port => 2000, :DocumentRoot => "/etc").start

攻撃の例:

require 'net/http'
res = Net::HTTP.start("localhost", 2000) { |http|
  req = Net::HTTP::Get.new("/passwd")
  req['If-None-Match'] = %q{meh=""} + %q{foo="bar" } * 100
  http.request(req)
}
p res

このリクエストの処理は実質的には終了しません。

この脆弱性はChristian Neukirchenさんによって報告されました。

dlの汚染チェックの欠如

dlはオブジェクトの汚染フラグをチェックしないため、攻撃者に危険な関数の実行を許してしまう可能性があります。

require 'dl'
$SAFE = 1
h = DL.dlopen(nil)
sys = h.sym('system', 'IP')
uname = 'uname -rs'.taint
sys[uname]

この脆弱性はsheepmanさんによって報告されました。

resolv.rbのDNSスプーフィング脆弱性

resolv.rbには、リモートの攻撃者が偽造したDNS問い合わせの返答の受け入れを許す脆弱性があります。この危険性は問い合わせのトランザクションID とソースポートのランダム化により低減できますが、resolv.rb ではどちらも行っていません。修正により、それらのランダム化を行うようになります。

参考: CVE-2008-1447

この脆弱性は田中哲さんによって報告されました。

脆弱性の存在するバージョン

1.8系

1.8.5以前の全てのバージョン
1.8.6-p286以前の全てのバージョン
1.8.7-p71以前の全てのバージョン

1.9系

r18423以前の全てのリビジョン

各バージョンでの対応方法

各バージョンでの対応方法を以下に記載します。

1.8系

1.8.6-p287または1.8.7-p72に更新してください。

1.9 series

Subversionで最新版をチェックアウトしてください。

$ svn co http://svn.ruby-lang.org/repos/ruby/trunk ruby

Rubyのパッケージを配布している各ベンダから、この脆弱性を修正した版のパッケージが提供されている場合もあります。詳細については各ベンダにお問い合わせください。

クレジット

これらの脆弱性は山口慶太さん・Christian Neukirchenさん・sheepmanさん・田中哲さんにより Ruby Security Teamに報告されました。

変更履歴

2007-08-08 12:24 +09:00 ruby 1.9のリビジョン番号を修正しました。
2007-08-11 11:31 +09:00 ruby 1.8のパッチレベルを修正しました。Ruby 1.8.7-p72 / 1.8.6-p287 のリリースアナウンスを参照ください。

任意のコードが実行される脆弱性について

Fri, 20 Jun 2008 12:54:52 GMT

信頼できない入力がRubyプログラムの入力として与えられた場合に、DoS攻撃を受けたり、任意のコードが実行される脆弱性が発見されました。

影響

攻撃者に以下の脆弱性を利用されることにより、DoS攻撃を受けたり、任意のコードが実行される危険性があります。

脆弱性の存在するバージョン

1.8系

1.8.4以前の全てのバージョン
1.8.5-p230以前の全てのバージョン
1.8.6-p229以前の全てのバージョン
1.8.7-p21以前の全てのバージョン

1.9系

1.9.0-1以前の全てのバージョン

各バージョンでの対応方法

各バージョンでの対応方法を以下に記載します。

1.8系

1.8.5-p231または1.8.6-p230・1.8.7-p22に更新してください。

<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-p231.tar.gz> (md5sum: e900cf225d55414bffe878f00a85807c)
<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p230.tar.gz> (md5sum: 5e8247e39be2dc3c1a755579c340857f)
<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p22.tar.gz> (md5sum: fc3ede83a98f48d8cb6de2145f680ef2)

1.9系

1.9.0-2に更新してください。

<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.9/ruby-1.9.0-2.tar.gz> (md5sum: 2a848b81ed1d6393b88eec8aa6173b75)

これらのバージョンでは、CVE-2008-1891のWEBrickの脆弱性も同時に修正しています。

クレジット

この脆弱性はApple Product SecurityのDrew Yao氏によりRuby Security Teamに報告されました。

変更履歴

2008-06-21 00:32 +09:00 誤ったCVE ID(CVE-2008-2727・CVE-2008-2728)を削除しました。

Ruby 1.8.7-p17 リリース

Fri, 13 Jun 2008 05:16:32 GMT

先日リリースされたRuby 1.8.7のアップデートである、Ruby 1.8.7-p17がリリースされました。(リリースについてのアナウンス:[ruby-list:45021])

ソースファイルは以下のURLから入手できます。

Ruby 1.8.7-p17

<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p17.tar.bz2>

(md5: 4bbcf952fad200f4d265cb77a123d2fc,
 sha256: f205c586764ffbd944b4ec6439bd08286e3e7b27bc9448e74949e76c63f6016b,
 size: 4114057)

<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p17.tar.gz>

(md5: 5b4bf50111d037aab6ea9ce1ad54e6ed,
 sha256: f0b1f4eeeffb8a4a5c9f10ec657f55e5ccbfc85583f546131a0d4d70cfbb317d,
 size: 4803589)

<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p17.zip>

(md5: 19255930b0e955c2287bf940db35ca38,
 sha256: 58639c0d444782f3af9e45f90ff8b4d8047032b12e87d82fbcd4c608e43030d8,
 size: 5879852)

今回のリリースは、Ruby 1.8.7のリリース後に見つかった問題の修正を目的としており、安定性と互換性が向上しています。 1.8.7 リリースを導入された方にはアップグレードを推奨します。

変更点のリストは同梱の NEWS または ChangeLog を参照してください。以下のURLでも閲覧できます。

Ruby 1.8.7 リリース!

Sun, 01 Jun 2008 01:45:10 GMT

Ruby 1.8.7がリリースされました。 (リリースについてのアナウンス:[ruby-list:44986])

ソースコードは以下のURLから入手できます。 3種類のフォーマットから選んでください。

<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7.tar.bz2>
- md5: f17f14c8d55e731b3ce1bc35c42f0a6c
- sha256: 65f2a862ba5e88bac7a78cff15bcb88d7534e741b51a1ffb79a0136c7041359a
- size: 4100024
<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7.tar.gz>
- md5: de906850f9a012c12ffc6e9f56fb1b66
- sha256: 600dccf13bca3e4179fa6ff554220ce4ba67ffc72bce1ac3bf74c2599c03a0ca
- size: 4799732
<URL:ftp://ftp.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7.zip>
- md5: 14d3eb37b32e4a26966bdd80f361ccd2
- sha256: 805987ad167d8f9cac90e4b9342686e96a7708664111be27a3c6d680ce21d6c1
- size: 5851408

　1.8.6 との互換性情報を含む変更点のリストは、同梱の NEWS および ChangeLog を参照してください。以下のURLでも閲覧できます。

なお、本リリースからは、新たにRubySpecを活用しての互換性の検証も行われています。

今後、 1.8.8 の開発とは別に「ruby_1_8_7」ブランチで致命的な不具合とセキュリティ脆弱性の修正に絞った保守が行われ、都度パッチリリースが公開されます。1.8.7 へのアップグレード後はそちらのチェックもお願いします。

Ruby 1.8.7-preview4 公開とリリース前最後のプレビューのお願い

Tue, 27 May 2008 02:24:15 GMT

[ruby-dev:34848]にて、MUSHAさんより、 ruby 1.8.7 preview4 を公開したとのアナウンスと、リリース前の最後のプレビューのお願いがありました。

ソースコードは以下のURLから入手可能です。

チェックサムは以下のとおりです。

MD5 (ruby-1.8.7-preview4.tar.bz2) = f2093521a67983dd42776efc70fc0905
SHA256 (ruby-1.8.7-preview4.tar.bz2) = 9f81d584a5b1bda92d933c48a336edd0ce6818eaa3a4e95cab59a73c85a7b285
SIZE (ruby-1.8.7-preview4.tar.bz2) = 4098091
MD5 (ruby-1.8.7-preview4.tar.gz) = b983608947fac9a044ad8e6ee5c32479
SHA256 (ruby-1.8.7-preview4.tar.gz) = 9e45e09ae12e0bc0c89be20c588f26b0fdddf9f1bdb2d2b59ecedfbb7f1cec3c
SIZE (ruby-1.8.7-preview4.tar.gz) = 4795826
MD5 (ruby-1.8.7-preview4.zip) = 3c208e6f99cf7be80ed2e56a44fff337
SHA256 (ruby-1.8.7-preview4.zip) = 27cf4c38c2ff9ae6045f7eefcf5164a30a69b1042af64cf729dc180363e629f8
SIZE (ruby-1.8.7-preview4.zip) = 5897462

1.8.7での変更点は、以下のページを参考にしてください。

何か問題点等を見つけられた方は、ruby-dev MLか、下記のBTSの方まで、お早めにご連絡ください。

<URL:http://rubyforge.org/tracker/?atid=22040&group_id=426&func=browse>

なお、すでに報告済みで対応中の場合や、解決済みの場合もありますので、報告前に「Status」を「Any」にし、全件表示をしてチェックしていただけると余計な作業が減ります。ご協力ください。

[ruby-dev:34848]によれば、正式リリースは今月中になる予定です。不具合を修正する最後の機会になりますので、ご協力よろしくお願いします。

サーバメンテナンス

Thu, 22 May 2008 09:40:45 GMT

ruby-lang.orgのSVN以外のサービスは、サーバメンテナンスのため、日本時間の2008年5月23日 11:00にしばらく停止します。ご迷惑をおかけしますが、ご協力をお願いします。

日本Ruby会議2008チケット発売開始

Sat, 10 May 2008 08:54:18 GMT

5月10日より日本Ruby会議2008のチケットの発売が開始されました。

日本Ruby会議は、日本でのRubyに関する単独のイベントとしては最大規模のものであり、今年は6月20日、21日、22日の3日間にわたり、つくば国際会議場にて開催されます。今回は会場も大ホールと多目的ホールに分かれ、昨年以上の規模で行う予定です（チケットが必要となるのは大ホールでの企画で、多目的ホールへの入場はチケット不要です）。

より詳しい情報は日本Ruby会議2008のサイトをご覧ください。みなさまの参加を心よりお待ちしております。

Ruby 1.8.7-preview2 公開

Sat, 26 Apr 2008 04:16:06 GMT

[ruby-dev:34462]にて、MUSHAさんより、 ruby 1.8.7 preview2 を公開したとのアナウンスがありました。

ソースコードは以下のURLから入手可能です。

チェックサムは以下のとおりです。

MD5 (ruby-1.8.7-preview2.tar.bz2) = aea3c408133a4a292198afa4b6b73af4
SHA256 (ruby-1.8.7-preview2.tar.bz2) = d02c1d22bff5c8365aa4adb25387950c0b58206a18cb18afcc4f2bd9401997e5
SIZE (ruby-1.8.7-preview2.tar.bz2) = 4013909
MD5 (ruby-1.8.7-preview2.tar.gz) = 776ca41fbc0b5c8d83c184cc79c3b622
SHA256 (ruby-1.8.7-preview2.tar.gz) = e969a88f91b26033e32f103e2db352d34a604c826789a1eb748fcb971fc9f602
SIZE (ruby-1.8.7-preview2.tar.gz) = 4714063
MD5 (ruby-1.8.7-preview2.zip) = b70c39942184101f6f3a9cd1eb245a12
SHA256 (ruby-1.8.7-preview2.zip) = 719ab45df2ca80bebf6e5e722778126f648e41a114d0d055a07837bb6fe55ee5
SIZE (ruby-1.8.7-preview2.zip) = 5797584

1.8.7での変更点は、以下のページを参考にしてください。

何か問題点等を見つけられた方は、ruby-dev MLか、下記のBTSの方まで、お早めにご連絡ください。よろしくお願いします。

<URL:http://rubyforge.org/tracker/?atid=22040&group_id=426&func=browse>