资讯频道 → 编程语言
阅读更多

1顶
1踩

编程语言

原创新闻 Ruby 安全漏洞，1.9/2.0 全分支受影响

2013-05-15 12:14 by 副主编 wangguo 评论(1) 有8369人浏览
ruby 安全 漏洞

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！



Ruby开发团队今天发布了两个更新版本Ruby 1.9.3-p429和Ruby 2.0.0-p195。

这两个版本主要修复了Ruby DL / Fiddle中的一个安全漏洞：
引用
对象污染绕过漏洞（CVE-2013-2065）：受污染的字符串可以通过系统调用来使用，而不受Ruby中$SAFE级别设置约束。

受影响的版本：

  • Ruby 1.9.3 p426之前的所有1.9.x版本
  • Ruby 2.0.0 p195之前的所有2.0版本
  • trunk 40728之前的版本
  • Ruby 1.8版本不受影响
如果你不能升级Ruby，下面这个“猴子补丁”可以作为一种变通方案： 

class Fiddle::Function
  alias :old_call :call
  def call(*args)
    if $SAFE >= 1 && args.any? { |x| x.tainted? }
      raise SecurityError, "tainted parameter not allowed"
    end
    old_call(*args)
  end
end

此外，这两个版本还进行了一些优化，修复了一些小的bug，详细信息：1.9.3 p429 changeLog、2.0.0 p195 changeLog

下载地址：

1
顶
1
踩
评论 共 1 条 请登录后发表评论
1 楼 debbbbie 2013-05-15 16:39
 

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • Commons-Digester简介

    Digester本来仅仅是Jakarta Struts中的一个工具，用于处理struts-config.xml配置文件。显然，将XML文件转换成相应的Java对象是一项很通用的功能，这个工具理应具有更广泛的用途，所以很快它就在Jakarta Commons项目(用于提供可重用的Java组件库)中有了一席之地。简言之，Digester由"事件"驱动，通过调用预定义的规则操作对象栈，将XML文件转

  • Digester库

    　　在之前所学习关于启动简单的Tomcat部分实现的代码中，我们使用一个启动类Bootstrap类 来实例化连接器、servlet容器、wrapper实例、和其他组件，然后调用各个对象的set方法将他们关联起来，例如。要实例化一个连接器 和 一个 servlet容器，可以使用下列代码 // 初始化一个连接器 Connector connector = new Ht...

  • Jakarta Commons:巧用类和组件二(转)

    2019独角兽企业重金招聘Python工程师标准>>> ...

  • Tomcat 7 中的 JMX 使用（二）Dynamic MBean

    如上一篇文章所见 Standard MBean 在 Tomcat 源码中的例子并不多，在 jconsole 中所看到的大量 MBean（如 Catalina 下的 Connector、Engine、Server、Service 等），实际上是动态 MBean（Dynamic MBean）。本文主要讲述 Tomcat 7 中如何通过动态 MBean 的方式构造 MBean 的。 接触过动态 MBea...

  • Commons-digester:规则引擎全实例

        Apache Commons-digester是一个非常便捷的XML-Java映射工具包，我们常用它作为规则引擎来使用，其中xml文件用来定义“规则”，通过digester解析之后，将会和javabean对象建立关系。其中struts/spring等第三方项目都使用digester作为xml-java映射工具；digester很好的实现了“xml定义规则”+“java业务处理”的桥接能...

  • Ruby 1.9 现 DoS 漏洞，紧急发布1.9.3-p327版

    Ruby开发团队近日在官方博客中称，Ruby 1.9分支中使用的Hash函数中存在安全漏洞，可能导致Hash-flooding DoS攻击。开发团队紧急发布了Ruby-1.9.3 p-327版本，1.9用户应尽快升级至...

  • 分享国外安全团队及工具

    arachni 1.0.2 功能齐全，模块化，高性能的Ruby框架，旨在帮助渗透测试人员和管理员评估Web应用程序的安全性。  https://www.arachni-scanner.com Arduino的 1.0.5 Arduino SDK（包括修补的avrdude和librxtx...

  • Spring Security 5.0.x 参考手册 【翻译自官方GIT-2018.06.12】

    如果您正在进行大量定制，则与使用简单名称空间配置相比，您可能会受到更多的影响。 在推出新版本之前，您应该始终彻底测试您的应用程序。 获得Spring Security 你可以通过几种方式获得Spring Security。 您可以从...

  • 数据库分类

     随着互联网Web2.0网站的星期，传统的关系型数据库在应付web2,0网站，特别是对于规模日益扩大的海量数据，超大规模和高并发的微博、微信、SNS类型的web2.0纯动态网站已经显得力不从心，暴露了很多难以克服的问题。...

  • Jakarta Commons项目组介绍（二）

    第二部分XML 类和包装类上一篇文章中，我们将Jakarta Commons的组件分成了五类，并介绍了其中的Web类和其他类，本文接着介绍XML 类和包装类，接下来的最后一篇文章将介绍工具类。注意Commons本身并不进行这种分类，这里进行分类纯粹是为组织方便起见。一、包装类这一类包含Codec 和Modeler 两个组件。1.1 Codec■ 概况：提供常用的编码器和解码器。■ 官方资源：主页，

  • Digester的XML规则文件配置

    在Digester中提供了一个包：org.apache.commons.digester.xmlrules。这个包中的类可以从一个XML文档中读取并返回一个指定的配置信息。XML文档配置文件必须使用DTD，这是xmlrules包的一部分。 下面是一个在这们例子中使用的XML规则的配置文件rules.xml。在看这个文件之前，我将有几点说明。 模式可以由两种不同...

  • 用digester简化xml文档处理 （2）

    指定模式和规则  import org.apache.commons.digester.*;import java.io.*;import java.util.*;public class digesterdriver {public static void main( string[] args ) {try {digester di

  • 一些重要的面试题！

    我们可以把Singleton实例放到一个静态内部类中，这样就避免了静态实例在Singleton类加载的时候就创建对象，并且由于静态内部类只会被加载一次，所以这种写法也是线程安全的： 1 2 3 4 5 6 7 8 9 10 11 public ...

  • 数据库的简介与类型

    随着互联网Web2.0网站的星期，传统的关系型数据库在应付web2,0网站，特别是对于规模日益扩大的海量数据，超大规模和高并发的微博、微信、SNS类型的web2.0纯动态网站已经显得力不从心，暴露了很多难以克服的问题。...

  • 数据库简介及类型

    随着互联网Web2.0网站的星期，传统的关系型数据库在应付web2,0网站，特别是对于规模日益扩大的海量数据，超大规模和高并发的微博、微信、SNS类型的web2.0纯动态网站已经显得力不从心，暴露了很多难以克服的问题。...

  • Spring Security参考手册

    Spring Security 参考手册Ben AlexLuke TaylorRob ...历史发布版本号Getting Spring SecuritySpring Security 4.1新特性Java 配置提升Web应用程序安全性提升授权改进密码模块的改进测试的改进一般的改进样品...

  • Spring Security 参考手册

    Spring Security 参考手册Spring security 是一个强大的和高度可定制的身份验证和访问控制框架。它是确保基于Spring的应用程序的标准。 ...安全是一个不断移动的目标，采取一个全面的全系统的方法

  • Spring Security 参考手册（一）

    安全是一个不断移动的目标，采取一个全面的全系统的方法很重要。在安全领域，我们鼓励你采取"layers of security"(安全层)，这样每一层尽可能的在自己范围内诶保证安全，连续的层提供额外的安全性。安全层更密集你的...

  • MySQL: 入门介绍

     随着互联网Web2.0网站的星期，传统的关系型数据库在应付web2,0网站，特别是对于规模日益扩大的海量数据，超大规模和高并发的微博、微信、SNS类型的web2.0纯动态网站已经显得力不从心，暴露了很多难以克服的问题。...

Global site tag (gtag.js) - Google Analytics