由 hsbt 發表於 2024-03-21
翻譯: Bear Su
我們發布了 RDoc gem 版本 6.3.4.1、6.4.1.1、6.5.1.1 和 6.6.3.1 對 RCE 漏洞進行了安全性修復。 該漏洞的 CVE 編號為 CVE-2024-27281。
風險細節
在 RDoc 6.3.3 至 6.6.2 中發現了一個問題,Ruby 影響版本為 3.x 至 3.3.0。
當解析 YAML 格式的 .rdoc_options
檔案時 (用於 RDoc 設定),由於沒有限制恢復的類別,可能導致執行物件注入與遠端程式碼進行攻擊。
當載入文件快取時,如果有特製的快取存在,則可能執行物件注入與遠端程式碼進行攻擊。
建議行動
我們建議升級 RDoc gem 至 6.6.3.1 或更新版本。為了確保相容於 Ruby 舊版本,您可以按照以下方式進行升級:
- Ruby 3.0: 升級至
rdoc
6.3.4.1 - Ruby 3.1: 升級至
rdoc
6.4.1.1 - Ruby 3.2: 升級至
rdoc
6.5.1.1
您可以使用 gem update rdoc
進行更新。如果您使用 bundler,請將 gem "rdoc", ">= 6.6.3.1"
加入到您的 Gemfile
中。
注意: 6.3.4、6.4.1、6.5.1 和 6.6.3 有不正確的修復。我們建議升級至 6.3.4.1、6.4.1.1、6.5.1.1 和 6.6.3.1。
受影響版本
- Ruby 3.0.6 及更早版本
- Ruby 3.1.4 及更早版本
- Ruby 3.2.3 及更早版本
- Ruby 3.3.0
- RDoc gem 6.3.3 及更早版本,6.4.0 至 6.6.2 中未修補版本 (6.3.4, 6.4.1, 6.5.1)
致謝
感謝 ooooooo_q 發現此問題。
歷史
- 最初發佈於 2024-03-21 4:00:00 (UTC)