FileUtils ist anfällig für Symlink-Race-Angriffe

Gepostet von Urabe Shyouhei am 18. Feb 2011

Eine Symlink-Race-Condition-Schwachstelle wurde in FileUtils.remove_entry_secure gefunden. Die Schwachstelle ermöglicht es lokalen Benutzern, beliebige Dateien und Verzeichnisse zu löschen.

Betroffene Versionen

• Ruby 1.8.6 patchlevel 420 und alle früheren Versionen
• Ruby 1.8.7 patchlevel 330 und alle früheren Versionen
• Entwicklungsversionen von Ruby 1.8 (1.8.8dev)
• Ruby 1.9.1 patchlevel 430 und alle früheren Versionen
• Ruby 1.9.2 patchlevel 136 und alle früheren Versionen
• Entwicklungsversionen von Ruby 1.9 (1.9.3dev)

Lösungen

Wir haben diese Situation behoben. Alle betroffenen Benutzer werden ermutigt, ihre Ruby-Installation zu aktualisieren.

Bitte beachten Sie jedoch, dass Symlink-Race-Angriffe unvermeidlich sind, wenn eines der übergeordneten Verzeichnisse, aus denen Sie löschen möchten, jemandem gehört, dem Sie nicht vertrauen. Wenn Sie also sicher sein wollen, müssen Sie sicherstellen, dass **ALLE** übergeordneten Verzeichnisse nicht von anderen nicht vertrauenswürdigen Benutzern verschoben werden können. Beispielsweise sollten übergeordnete Verzeichnisse nicht im Besitz von nicht vertrauenswürdigen Benutzern sein und nicht für alle schreibbar sein, es sei denn, das Sticky-Bit ist gesetzt.

Aktualisierungen

• Tippfehler behoben. (vulnerabile -> vulnerable)
• 1.8.7-334 wurde veröffentlicht, um dieses Problem zu beheben. 1.8.7-Benutzer werden ermutigt, ein Upgrade durchzuführen.
  • https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p334.tar.gz
  • https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p334.tar.bz2
  • https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.7-p334.zip
• 1.9.1-p431 wurde veröffentlicht, um dieses Problem zu beheben. 1.9.1-Benutzer werden ermutigt, ein Upgrade durchzuführen.
  • https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.1-p431.tar.gz
  • https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.1-p431.tar.bz2
  • https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.1-p431.zip
• 1.9.2-p180 wurde veröffentlicht, um dieses Problem zu beheben. 1.9.2-Benutzer werden ermutigt, ein Upgrade durchzuführen.
  • https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p180.tar.gz
  • https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p180.tar.bz2
  • https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.2-p180.zip
• Betroffene Versionen für die 1.9-Serie korrigiert.