Ruby のセキュリティ問題に関連する情報を紹介します。
セキュリティ問題の報告窓口
Ruby のセキュリティに関する問題の報告は、HackerOne へ issue を登録することによって行えます。 報告の際には、該当ページに記されている取り扱われる問題の範囲について、よく確認してください。 報告された内容については、それが確認され、対策が講じられた後に、一般に公開されます。
また、何らかの理由で HackerOne を使えないあるいは使いたくない場合は、security@ruby-lang.org (PGP 公開鍵) でも報告を受け付けています。 security@ruby-lang.org は非公開 ML で、報告された問題が確認され、対策が講じられた後に、問題が一般に公開されます。
このメーリングリストのメンバーは Ruby を提供している人々 (Ruby コミッタやその他 Ruby 処理系の作者、ディストリビュータ、PaaS プラットフォーム提供者など) です。 メンバーは必ず個人である必要があり、メーリングリストは許可されておりません。
既知のセキュリティ問題
See the English page for a complete and up-to-date list of security vulnerabilities. The following list only includes the as yet translated security announcements, it might be incomplete or outdated.
新しいものから順に並べています。
- CVE-2024-43398: REXML内のDoS脆弱性
2024-08-22 - CVE-2024-41946: REXML内のDoS脆弱性
2024-08-01 - CVE-2024-41123: REXML内のDoS脆弱性
2024-08-01 - CVE-2024-39908: REXML内のDoS脆弱性
2024-07-16 - CVE-2024-35176: REXML内のDoS脆弱性
2024-05-16 - CVE-2024-27282: 正規表現検索における任意のメモリアドレス読み取りの脆弱性
2024-04-23 - CVE-2024-27281: RDoc 内の .rdoc_options におけるRCE 脆弱性
2024-03-21 - CVE-2024-27280: StringIOにおけるバッファーオーバーリード脆弱性
2024-03-21 - CVE-2023-36617: URI における ReDoS 脆弱性について
2023-06-29 - CVE-2023-28756: Time における ReDoS 脆弱性について
2023-03-30 - CVE-2023-28755: URI における ReDoS 脆弱性について
2023-03-28 - CVE-2021-33621: CGI 内の HTTP レスポンス分割
2022-11-22 - CVE-2022-28738: Regexp コンパイル時のダブルフリー
2022-04-12 - CVE-2022-28739: String から Float 変換時のバッファオーバーラン
2022-04-12 - CVE-2021-41819: CGI::Cookie.parse 内の Cookie プレフィックスの偽装
2021-11-24 - CVE-2021-41816: CGI.escape_html 内のバッファオーバーラン
2021-11-24 - CVE-2021-41817: 日付をパースするメソッドにおける正規表現 Denial of Service の脆弱性について
2021-11-15 - CVE-2021-31810: Net::FTP における信頼性のある FTP PASV 応答の脆弱性について
2021-07-07 - CVE-2021-32066: Net::IMAP 内の StartTLS ストリッピングの脆弱性について
2021-07-07 - CVE-2021-31799: RDoc におけるコマンドインジェクションの脆弱性について
2021-05-02 - CVE-2021-28965: REXML 内の XML ラウンドトリップ脆弱性について
2021-04-05 - CVE-2021-28966: Windows 版 Tempfile 内のパストラバーサルについて
2021-04-05 - CVE-2020-25613: WEBrick 内の潜在的な HTTP リクエストスマグリングの脆弱性について
2020-09-29 - CVE-2020-10933: socketライブラリのヒープ暴露脆弱性について
2020-03-31 - CVE-2020-10663: JSON における安全でないオブジェクトの生成の脆弱性について（追加の修正）
2020-03-19 - CVE-2019-16201: WEBrickのDigest認証に関する正規表現Denial of Serviceの脆弱性
2019-10-01 - CVE-2019-15845: File.fnmatch の NUL 文字挿入脆弱性
2019-10-01 - CVE-2019-16254: WEBrick における HTTP レスポンス偽装の脆弱性について（追加の修正）
2019-10-01 - CVE-2019-16255: Shell#[]およびShell#testのコード挿入脆弱性
2019-10-01 - RDoc における jQuery の脆弱性について
2019-08-28 - RubyGems の複数の脆弱性について
2019-03-05 - CVE-2018-16395: OpenSSL::X509::Name の同一性判定が機能していない脆弱性について
2018-10-17 - CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性について
2018-10-17 - CVE-2018-6914: Tempfile および Tmpdir でのディレクトリトラバーサルを伴う意図しないファイルまたはディレクトリ作成の脆弱性について
2018-03-28 - CVE-2018-8779: UNIX ドメインソケットにおいて NUL 文字挿入により意図しないソケットにアクセスされうる脆弱性について
2018-03-28 - CVE-2018-8780: Dir において NUL 文字挿入により意図しないディレクトリにアクセスされうる脆弱性について
2018-03-28 - CVE-2018-8777: WEBrick における巨大リクエストにともなう DoS 脆弱性について
2018-03-28 - CVE-2017-17742: WEBrick における HTTP レスポンス偽装の脆弱性について
2018-03-28 - CVE-2018-8778: String#unpack における範囲外読み込みの脆弱性について
2018-03-28 - RubyGems の複数の脆弱性について
2018-02-17 - CVE-2017-17405: Net::FTP におけるコマンドインジェクションの脆弱性について
2017-12-14 - CVE-2017-10784: WEBrick の BASIC 認証におけるエスケープシーケンス挿入の脆弱性について
2017-09-14 - CVE-2017-0898: Kernel.sprintf におけるバッファーアンダーランについて
2017-09-14 - CVE-2017-14033: OpenSSL の ASN1 デコードにおけるバッファーアンダーランについて
2017-09-14 - CVE-2017-14064: JSON の生成時におけるヒープ暴露について
2017-09-14 - RubyGems の複数の脆弱性について
2017-08-29 - CVE-2015-7551: Fiddle と DL における tainted 文字列使用時の脆弱性について
2015-12-16 - CVE-2015-1855: Ruby OpenSSL ホスト名検証の脆弱性
2015-04-13 - CVE-2014-8090: REXML における XML 展開に伴う新たなサービス不能攻撃について
2014-11-13 - CVE-2014-8080: REXML におけるXML展開に伴うサービス不能攻撃について
2014-10-27 - ext/openssl のデフォルト設定の変更について
2014-10-27 - 脆弱性 CVE-2014-2734 の争点について
2014-05-09 - OpenSSL の TLS ハートビート拡張による重大な脆弱性について（CVE-2014-0160）
2014-04-10 - YAML の URI エスケープ処理におけるヒープオーバーフローについて (CVE-2014-2525)
2014-03-29 - 浮動小数点数パースにおけるヒープオーバーフロー (CVE-2013-4164)
2013-11-22 - OpenSSL クライアントにおけるホスト名検証バイパス脆弱性 (CVE-2013-4073)
2013-06-27 - DL および Fiddle におけるオブジェクト汚染フラグバイパス (CVE-2013-2065)
2013-05-14
- REXML におけるエンティティ展開に伴うサービス不能攻撃について 2013年02月22日公開
- JSON におけるサービス不能攻撃および安全でないオブジェクトの生成について (CVE-2013-0269) 2013年02月22日公開
- RDoc で生成した HTML ドキュメントにおける XSS 脆弱性 (CVE-2013-0256) 2013年02月06日公開
- ruby 1.9 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2012-5371) 2012年11月10日公開
- 不当な NUL 文字挿入によって意図しないファイルが生成されうる脆弱性の対応 2012年10月12日公開
- Exception#to_s 等による $SAFE 機構をバイパス可能な脆弱性の対応 (CVE-2012-4464, CVE-2012-4466) 2012年10月12日公開
- Security Fix for RubyGems: SSL server verification failure for remote repository 2012年4月20日公開
- Security Fix for Ruby OpenSSL module: Allow 0/n splitting as a prevention for the TLS BEAST attack 2012年2月16日公開
- ruby 1.8 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2011-4815) 2011年12月28日公開
- Exceptionのメソッドの$SAFE機構をバイパス可能な脆弱性について 2011年2月18日公開
- FileUtilsのsymlink race attack脆弱性について 2011年2月18日公開
- WEBrickのXSS脆弱性 (CVE-2010-0541) 2010年8月16日公開
- ARGF.inplace_mode=にバッファーオーバーフロー 2010年7月2日公開
- WEBrickにエスケープシーケンス挿入の脆弱性 2010年1月10日公開
- Stringのヒープオーバーフロー 2009年12月7日公開
- BigDecimalのDoS脆弱性 2009年6月10日公開
- DLで汚染チェックが行われない脆弱性 2009年5月12日公開
- REXMLのDoS脆弱性 2008年8月23日公開
- Rubyに複数の脆弱性 2008年8月8日公開
- 任意のコードが実行される脆弱性について 2008年6月20日公開
- WEBrickの非公開ファイルにアクセスされる脆弱性について 2008年3月3日公開
- net/httpsライブラリにおける「中間者によるなりすまし攻撃」に対する脆弱性について 2007年10月4日公開
- もう一つのCGIライブラリのDoS脆弱性について 2006年12月4日公開
- CGIライブラリのDoS脆弱性について 2006年11月2日公開
- alias機能の問題でセーフレベル4がサンドボックスとして機能しない脆弱性について 2006年9月13日公開
- 特定メソッドの問題でセーフレベル 4 がサンドボックスとして機能しない脆弱性について 2006年9月13日公開
- XMLRPC DoS脆弱性について 2005年11月21日公開
- WEBrick DoS脆弱性について 2005年11月21日公開
- セーフレベルの設定が回避可能となる脆弱性について 2005年9月22日公開
- XMLRPC.iPIMethodsの脆弱性について 2005年7月1日公開
Posted by usa on 02 Jun 2006