Sicherheitswartungserweiterung für Ruby 1.8.7 und 1.9.2

Gepostet von zzak am 17. Dez 2013

Ab sofort werden 1.8.7 und 1.9.2 bis Juni 2014 mit Sicherheitspatches unterstützt.

• Terence Lee (@hone02) und Zachary Scott (@_zzak) werden die Wartung übernehmen.
• Nach der 6-monatigen Wartungsperiode können wir weitere Committer hinzufügen, um weitere 6 Monate zu verlängern.

Diese Wartungsverlängerung wird durch Heroku ermöglicht. Lesen Sie ihren Blogbeitrag A Patch in Time: Securing Ruby für weitere Informationen.

Melden von Problemen

Während dieser verlängerten Wartungsperiode werden wir *nur* Sicherheitspatches im Quellcode-Repository für 1.8.7 und 1.9.2 anwenden.

Wir nehmen Sicherheit sehr ernst. Wenn Sie eine Schwachstelle finden, melden Sie diese bitte sofort an security@ruby-lang.org. Diese Mailingliste ist privat, und gemeldete Probleme werden nach der Veröffentlichung einer Korrektur veröffentlicht.

Weitere Informationen finden Sie unter ruby-lang.org/en/security.

Zur Release-Verwaltung

Wie oben erwähnt, werden wir nur Sicherheitspatches anwenden und die Patch-Ebene erhöhen.

Wir werden keine gepatchte Version von 1.8.7 oder 1.9.2 auf ruby-lang.org veröffentlichen. Sie sind jedoch frei, Binärdateien aus dem Quellcode neu zu paketieren.

Der Grund dafür ist, dass wir keine neuen Tickets haben möchten, da eine offizielle Veröffentlichung die fortlaufende Verantwortung von ruby-core zur Nachverfolgung der Wartung zur Folge hätte. Unsere Teamressourcen sind bereits gering, und wir möchten Upgrades fördern, nicht veraltete Versionen unterstützen.

Warum 1.8.7 wiederbeleben?

Sie erinnern sich vielleicht an eine Ankündigung vor etwa 6 Monaten, dass 1.8.7 eingestellt wurde.

Obwohl ruby-core die Wartung von 1.8.7 oder 1.9.2 nicht wieder aufnehmen wird, werden Terence und Zachary diese Versionen im Rahmen eines Unternehmenssponsoring für die Sicherheitswartung unterstützen.

In der Vergangenheit haben wir Anbieter unterstützt, die Legacy-Versionen pflegen wollten. Im Jahr 2009 wurde die Wartung von Ruby 1.8.6 an Engine Yard übertragen, als diese 1.8.6-p369 veröffentlichten.

Worte der Ermutigung

Wir möchten diese Gelegenheit nutzen, um Sie dringend zu bitten, so bald wie möglich auf eine unterstützte Ruby-Version zu aktualisieren. Viele Mitglieder von ruby-core haben unzählige Stunden in die Verbesserung der Leistung und Funktionen von Ruby in 2.0+ investiert, und wir wünschen uns, dass Sie davon Gebrauch machen.

Vielen Dank für Ihre fortgesetzte Unterstützung und lassen Sie uns Ruby weiter verbessern!