Net::HTTPS Schwachstelle

Gepostet von Shugo Maeda am 4. Okt 2007

Eine Schwachstelle in der net/https Bibliothek wurde gemeldet.

Detaillierte Informationen finden Sie im Original-Advisory: <URL:http://www.isecpartners.com/advisories/2007-006-rubyssl.txt>

Auswirkungen

Die Schwachstelle liegt in der `connect`-Methode in der Datei `http.rb`, die `post_connection_check` nach der Aushandlung der SSL-Verbindung nicht aufruft. Da die CN (Common Name) des Serverzertifikats nicht gegen den angeforderten DNS-Namen validiert wird, kann ein Angreifer den Zielserver in einer SSL-Verbindung impersonieren. Die Integritäts- und Vertraulichkeitsvorteile von SSL werden dadurch aufgehoben.

Betroffene Versionen

1.8 Serie

• 1.8.4 und alle älteren Versionen
• 1.8.5-p113 und alle vorherigen Versionen
• 1.8.6-p110 und alle vorherigen Versionen

Entwicklungsversion (Serie 1.9)

Alle Versionen vor dem 23.09.2006

Lösung

1.8 Serie

Bitte aktualisieren Sie auf 1.8.6-p111 oder 1.8.5-p114.

• <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.6-p111.tar.gz>
• <URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-p114.tar.gz>

Verwenden Sie dann `Net::HTTP#enable_post_connection_check=` , um `post_connection_check` zu aktivieren.

http = Net::HTTP.new(host, 443)
http.use_ssl = true
http.enable_post_connection_check = true
http.verify_mode = OpenSSL::SSL::VERIFY_PEER
store = OpenSSL::X509::Store.new
store.set_default_paths
http.cert_store = store
http.start {
  response = http.get("/")
}

Bitte beachten Sie, dass ein Paket, das diese Schwäche behebt, möglicherweise bereits über Ihre Paketverwaltungssoftware verfügbar ist.

Entwicklungsversion (Serie 1.9)

Bitte aktualisieren Sie Ihr Ruby auf eine Version nach dem 23.09.2006. Der Standardwert von `Net::HTTP#enable_post_connection_check` ist unter Ruby 1.9 `true`.

Änderungen

• 2007-10-04 16:30 +09:00 Beschreibung für enable_post_connection_check zur Lösung hinzugefügt.