2018年のアーカイブ

Ruby の標準添付ライブラリ openssl では OpenSSL::X509::Name クラスによって X.509 証明書で用いられる形式の名前データを扱うことができます。ところが、このクラスのインスタンス同士を比較した場合、データの内容によっては、本来一致とみなされるべきではないものが一致しているとみなされてしまうという脆弱性が発見されました。この脆弱性は、CVE-2018-16395 として登録されています。

Posted by usa on 17 Oct 2018

CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性について

Array#pack および String#unpack の一部のフォーマット指定において、元データの taint フラグが適切に出力文字列・配列に対して伝播しないという脆弱性が発見されました。この脆弱性は、CVE-2018-16396 として登録されています。

Posted by usa on 17 Oct 2018

Rubyist Magazine 0058号発行

日本Rubyの会有志による、ウェブ雑誌Rubyist Magazineの0058号がリリースされました([ruby-list:50698])。今号は、

Posted by miyohide on 28 Aug 2018

Ruby 2.6.0-preview2 Released

Ruby 2.6.0に向けた二回目のプレビューである、Ruby 2.6.0-preview2がリリースされました。

Posted by naruse on 31 May 2018

Ruby 2.5.1 リリース

Ruby 2.5.1 がリリースされました。このリリースには以下の脆弱性修正が含まれています。

Posted by naruse on 28 Mar 2018

Ruby 2.4.4 リリース

Ruby 2.4.4 がリリースされました。このリリースには以下の脆弱性修正が含まれています。

Posted by nagachika on 28 Mar 2018

Ruby 2.3.7 リリース

Ruby 2.3.7 がリリースされました。これは安定版 2.3 系列の TEENY リリースです。

Posted by usa on 28 Mar 2018

Ruby 2.2.10 リリース

Ruby 2.2.10 がリリースされました。今回のリリースでは、以下のセキュリティ上の問題への対応が行われています。

Posted by usa on 28 Mar 2018

CVE-2018-6914: Tempfile および Tmpdir でのディレクトリトラバーサルを伴う意図しないファイルまたはディレクトリ作成の脆弱性について

Ruby の標準添付ライブラリである tmpdir で、攻撃者により任意のディレクトリを一時ディレクトリ作成場所として指定可能な脆弱性が発見されました。また、同じく標準添付ライブラリである tempfile も内部で tmpdir を使用しているため、同様に任意のディレクトリを一時ファイル作成場所として指定可能となっていました。この脆弱性は、CVE-2018-6914 として登録されています。

Posted by usa on 28 Mar 2018

CVE-2018-8779: UNIX ドメインソケットにおいて NUL 文字挿入により意図しないソケットにアクセスされうる脆弱性について

Ruby の標準添付ライブラリである socket のメソッド UNIXServer.open で、ソケット名として指定された文字列中に NUL 文字を挿入しておくことによって、意図しないパス名でソケットが生成されうるという脆弱性が発見されました。また、同じく UNIXSocket.open メソッドにおいても、ソケット名として指定された文字列に NUL 文字を挿入しておくことによって、意図しないパス名のソケットにアクセスしうるという脆弱性も発見されました。この脆弱性は、CVE-2018-8779 として登録されています。

Posted by usa on 28 Mar 2018