작성자: zzak and hone (2014-08-19)
번역자: marocchino

1.9.2-p330이 릴리스되었습니다. 이 릴리스는 1.9.2 시리즈의 마지막 릴리스입니다.

1.8.7과 1.9.2의 종료 공지 직후에 치명적인 보안 회귀가 1.9.2에서 발견되었습니다. 이 취약점은 CVE ID CVE-2014-6438에 할당 되었습니다.

이 버그는 URI 메서드 decode_www_form_component를 이용해 긴 문자열을 파싱할 때 발생합니다. 이 버그는 다음 코드를 취약점이 있는 루비 환경에서 실행해 보는 것으로 재현 가능합니다.

ruby -v -ruri -e'URI.decode_www_form_component "A string that causes catastrophic backtracking as it gets longer %"'

1.9.3 릴리스의 직전에 발견되고 패치하였기 때문에, 루비 1.9.3-p0 이후의 버전은 영향받지 않습니다. 하지만 1.9.2-p330보다 오래된 루비 1.9.2 버전에서는 영향을 받습니다.

좀 더 자세한 정보를 원하시면, 버그트래커에서 원 보고글을 읽으실 수 있습니다. https://bugs.ruby-lang.org/issues/5149#note-4

다운로드

• https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p330.tar.bz2

  SIZE:   9081661 bytes
  MD5:    8ba4aaf707023e76f80fc8f455c99858
  SHA256: 6d3487ea8a86ad0fa78a8535078ff3c7a91ca9f99eff0a6a08e66c6e6bf2040f
  

• https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p330.tar.gz

  SIZE:   11416473 bytes
  MD5:    4b9330730491f96b402adc4a561e859a
  SHA256: 23ef45fdaecc5d6c7b4e9e2d51b23817fc6aa8225a20f123f7fa98760e8b5ca9
  

• https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p330.zip

  SIZE:   12732739 bytes
  MD5:    42d261b28d1b7e500dd3bdbdbfba7fa5
  SHA256: 7a04a028564de7f2ad09f26c8d57fd40fe2b0a6a0e1d9ff7205010ca6e70cea6
  

안정적이고 관리되고 있는 루비 버전을 사용하시는 것을 권장합니다.

구독

최근 소식(RSS)