Mehrere Schwachstellen in RubyGems

Veröffentlicht von usa am 17. Feb 2018

Es gibt mehrere Schwachstellen in den von Ruby gebündelten RubyGems. Dies wird im offiziellen Blog von RubyGems berichtet.

Details

Die folgenden Schwachstellen wurden gemeldet.

• Verhindert Path Traversal beim Schreiben in ein Symlink-basiertes Verzeichnis außerhalb des Stammverzeichnisses.
• Behebt mögliche Schwachstelle bei der unsicheren Objekt-Deserialisierung in Gem-Besitzer.
• Interpretiert Oktalfelder in Tar-Headern streng.
• Löst einen Sicherheitsfehler aus, wenn doppelte Dateien in einem Paket vorhanden sind.
• Erzwingt die URL-Validierung für das Attribut „homepage“ des Specs.
• Mindert die XSS-Schwachstelle im „homepage“-Attribut, wenn es über den Gem-Server angezeigt wird.
• Verhindert ein Path Traversal-Problem während der Gem-Installation.

Es wird dringend empfohlen, dass Ruby-Benutzer ihre Ruby-Installation so bald wie möglich aktualisieren oder eine der folgenden Problemumgehungen anwenden.

Betroffene Versionen

• Ruby 2.2-Serie: 2.2.9 und früher
• Ruby 2.3-Serie: 2.3.6 und früher
• Ruby 2.4-Serie: 2.4.3 und früher
• Ruby 2.5-Serie: 2.5.0 und früher
• vor Trunk-Revision 62422

Problemumgehungen

Grundsätzlich sollten Sie Ihre Ruby-Installation auf die neueste Version aktualisieren. RubyGems 2.7.6 oder neuer enthält die Korrektur für die Schwachstellen. Aktualisieren Sie daher RubyGems auf die neueste Version, wenn Sie Ruby selbst nicht aktualisieren können.

gem update --system

Wenn Sie RubyGems nicht aktualisieren können, können Sie die folgenden Patches als Problemumgehung anwenden.

• für Ruby 2.2.9
• für Ruby 2.3.6
• für Ruby 2.4.3
• für Ruby 2.5.0

Bezüglich des Trunks, aktualisieren Sie auf die neueste Revision.

Credits

Dieser Bericht basiert auf dem offiziellen Blog von RubyGems.

Verlauf

• Ursprünglich veröffentlicht am 2018-02-17 03:00:00 UTC
• Erwähnung der Aktualisierung von Rubys am 2018-03-29 01:00:00 UTC