작성자: usa (2017-09-14)
번역자: wagurano
루비 표준 부가라이브러리 JSON에 힙 메모리를 노출하는 취약점이 있습니다. 이 취약점은 CVE 아이디 CVE-2017-14064로 할당하였습니다.
세부 내용
JSON 모듈의 generate 메서드는 JSON::Ext::Generator::State 클래스의 인스턴스를 옵션으로 받을 수 있습니다.
고의로 조작한 인스턴스를 넘기면, 힙 메모리 내용을 JSON 문자열로 출력할 수 있습니다.
해당 버전을 사용하는 모든 사용자는 즉시 업그레이드를 하거나 아래 해결 방법으로 조치하기 바랍니다.
해당 버전
- 루비 2.2 버전대: 2.2.7 이하
- 루비 2.3 버전대: 2.3.4 이하
- 루비 2.4 버전대: 2.4.1 이하
- 리비전 58323 이전의 트렁크
해결 방법
JSON 라이브러리는 젬으로도 배포합니다. 루비 버전을 올릴 수 없다면, 버전 2.0.4 이후 JSON 젬을 설치합니다.
도움을 준 사람
이 사안을 보고한 아흐마드 셰리프(ahmadsherif)에게 감사합니다.
수정 이력
- 2017-09-14 21:00:00 (KST) 최초 공개