發佈 Ruby 1.9.2-p330

由 zzak and hone 發表於 2014-08-19
翻譯： Juanito Fatas

我們發佈了 1.9.2-p330，1.9.2 版本的最後一個發行版。

在宣布終止 1.8.7 和 1.9.2 不久後，1.9.2 版本發現一個嚴重的安全性錯誤。這個風險的 CVE 識別號已經被指派為 CVE-2014-6438。

這個錯誤發生在使用 URI 的 decode_www_form_component 方法來解析長字串的場景。可以透過使用存在風險的 Ruby 版本執行以下程式來重現這個錯誤：

ruby -v -ruri -e'URI.decode_www_form_component "A string that causes catastrophic backtracking as it gets longer %"'

由於這個錯誤在 1.9.3 發佈前就已經修正了，所以 1.9.3-p0 不受影響。但 1.9.2-p330 之前的版本存在此問題。

可以在 Bug Tracker 上閱讀最初的錯誤報告：https://bugs.ruby-lang.org/issues/5149#note-4

下載

SIZE:   9081661 bytes
MD5:    8ba4aaf707023e76f80fc8f455c99858
SHA256: 6d3487ea8a86ad0fa78a8535078ff3c7a91ca9f99eff0a6a08e66c6e6bf2040f

SIZE:   11416473 bytes
MD5:    4b9330730491f96b402adc4a561e859a
SHA256: 23ef45fdaecc5d6c7b4e9e2d51b23817fc6aa8225a20f123f7fa98760e8b5ca9

SIZE:   12732739 bytes
MD5:    42d261b28d1b7e500dd3bdbdbfba7fa5
SHA256: 7a04a028564de7f2ad09f26c8d57fd40fe2b0a6a0e1d9ff7205010ca6e70cea6

我們建議升級至穩定並仍在維護的 Ruby 版本。