XSS in WEBrick (CVE-2010-0541)

Geschrieben von Quintus am 24.8.2010

Es wurde eine mögliche Sicherheitslücke in WEBrick entdeckt, welche als CVE-2010-0541 gemeldet wurde.

Beschreibung

WEBrick besaß eine Cross-Site-Scripting-Schwachstelle, die es einem Angreifer erlaubte, beliebigen Skript- oder HTML-Quelltext über ein manipuliertes URI einzuschleusen. Dies betrifft keine User-Agents, die HTTP/1.1 strikt implementieren; leider tun das einige Agents aber nicht.

Die betroffenen Versionen sind:

  • Ruby 1.8.6-p399 und alle früheren Veröffentlichungen
  • Ruby 1.8.7-p299 und alle früheren Veröffentlichungen
  • Ruby 1.9.1-p429 und alle früheren Veröffentlichungen
  • Ruby 1.9.2-rc2 und alle früheren Veröffentlichungen
  • Entwicklerversionen von Ruby (1.9.3-dev)

Wir empfehlen, deine Ruby-Installation auf das aktuelle Patchlevel-Release zu updaten.

Lösungen

Fixes für 1.8.6, 1.8.7 und 1.9.1 werden diesem Post folgen.

  • 1.8.6:
  • 1.8.7: Update zu ruby-1.8.7-p302
  • 1.9.1: Update zu ruby-1.9.1-p430
  • Development-Versionen auf die neueste Revision des jeweiligen Branches updaten.
  • Du kannst die Sicherheitslücke auch beseitigen, indem du einen Patch auf $(libdir)/ruby/${ruby_version}/webrick/httpresponse.rb anwendest. Der von Hirokazu NISHIO geschriebene Patch kann unter der URL https://cache.ruby-lang.org/pub/misc/webrick-cve-2010-0541.diff gefunden werden.
    • Größe: 466 Byte
    • MD5: 395585e1aae7ddef842f0d1d9f5e6e07
    • SHA-256: 6bf7dea0fc78f0425f5cbb90f78c3485793f27bc60c11244b6ba4023445f3567

Dank

Die Sicherheitslücke wurde von Apple gefunden und dem Ruby-Sicherheitsteam von Hideki Yamane gemeldet1.

Updates

  • Ursprünglich veröffentlicht: 2010-08-16 10:26:03 JST
  • 1.9.1 patchlevel 430 veröffentlicht
  • 1.8.7 patchlevel 301 veröffentlicht
  • 1.8.7 patchlevel 302 veröffentlicht, da 1.8.7-p301 nicht lauffähig war. Bitte nutze stattdessen dieses.

1 [ruby-dev:42003]