Inserito da zzak and hone il 2014-08-19
Tradotto da alepore
Abbiamo rilasciato Ruby 1.9.2-p330, la release finale della serie 1.9.2.
Poco dopo l’annuncio di EOL per 1.8.7 e 1.9.2 è stata trovata una regressione di sicurezza critica sulla 1.9.2. A questa vulnerabilità è stato assegnato l’identificativo CVE-2014-6438.
Il bug avviene quando il parsing di una lunga stringa usa il metodo URI
decode_www_form_component. Questo può essere riprodotto eseguendo quanto segue
su un Ruby vulnerabile:
ruby -v -ruri -e'URI.decode_www_form_component "A string that causes catastrophic backtracking as it gets longer %"'Poichè era stato scoperto e risolto subito prima del rilascio della 1.9.3, le versioni di Ruby 1.9.3-p0 e successive non sono affette; le versioni 1.9.2 precedenti a 1.9.2-p330 sono invece affette.
Potete leggere la segnalazione originale sul bug tracker: https://bugs.ruby-lang.org/issues/5149#note-4
Download
-
https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p330.tar.bz2
SIZE: 9081661 bytes MD5: 8ba4aaf707023e76f80fc8f455c99858 SHA256: 6d3487ea8a86ad0fa78a8535078ff3c7a91ca9f99eff0a6a08e66c6e6bf2040f -
https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p330.tar.gz
SIZE: 11416473 bytes MD5: 4b9330730491f96b402adc4a561e859a SHA256: 23ef45fdaecc5d6c7b4e9e2d51b23817fc6aa8225a20f123f7fa98760e8b5ca9 -
https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p330.zip
SIZE: 12732739 bytes MD5: 42d261b28d1b7e500dd3bdbdbfba7fa5 SHA256: 7a04a028564de7f2ad09f26c8d57fd40fe2b0a6a0e1d9ff7205010ca6e70cea6
Vi incoraggiamo ad aggiornare ad una versione di Ruby stabile e mantenuta.