Bundler may install gems from a different source than expected (CVE-2013-0334) - RubyGems Blog
Back to blog posts 14 Aug 2014 Bundler may install gems from a different source than expected (CVE-2013-0334) by André Arko Versions Affected: All versions < 1.7.0 Not Affected: Any Gemfile with one or zero sources Fixed Versions: 1.7.0 Releases: 1.7.0 Bundler 1.7 is a security-only release to address CVE-2013-0334, a vulnerability where a gem might be installed from an unintended source server, p
正規表現によるバリデーションでは ^ と $ ではなく \A と \z を使おう
正規表現によるバリデーション等で、完全一致を示す目的で ^ と $ を用いる方法が一般的ですが、正しくは \A と \z を用いる必要があります。Rubyの場合 ^ と $ を使って完全一致のバリデーションを行うと脆弱性が入りやすいワナとなります。PerlやPHPの場合は、Ruby程ではありませんが不具合が生じるので \A と \z を使うようにしましょう。 はじめに 大垣さんのブログエントリ「PHPer向け、Ruby/Railsの落とし穴」には、Rubyの落とし穴として、完全一致検索の指定として、正規表現の ^ と $ を指定する例が、Ruby on Rails Security Guideからの引用として紹介されています。以下の正規表現は、XSS対策として、httpスキームあるいはhttpsスキームのURLのみを許可する正規表現のつもりです。 /^https?:\/\/[^\n]+$/
OpenSSL クライアントにおけるホスト名検証バイパス脆弱性 (CVE-2013-4073) | Ruby
Posted by nahi on 27 Jun 2013 Translated by hsbt Ruby の SSL クライアントに信頼された証明書を用いて認証されたサーバーになりすまして 中間者攻撃を可能とする脆弱性が報告されました。 この脆弱性は CVE-2013-4073 として CVE に登録されています。 脆弱性の概要 Rubyの SSL クライアントはホストネームが一意であることをチェックする機構を持っていますが、 その機構は null バイト文字が含まれている証明書のホストネームを適切に処理することができません。 脆弱性の詳細 Ruby の SSL クライアントは OpenSSL::SSL.verify_certificate_identity に RFC2818 の サーバー一意性チェックを実装していますが、 null バイト文字を含んだ X509 の subjectAl
橋本商会 » 信用出来ないRubyスクリプトを安全にevalしたかった
たぶん大丈夫だと思うんだけどヤバかったら教えて下さい。 （皆様からの温かいトマホーク(2)(3)によるとやっぱダメなようです） 要件 – ブラウザでRubyのコード書かせて、サーバーに保存してサーバーで実行したい – 危険な事はされたくない。ファイルへのアクセスやコマンドの実行、やたら時間のかかる処理など – 安全に実行できたらコードの返り値を取得したい。コードが危険だったらエラーを取得したい。 – 危険な事されても、コード実行しているプロセスは終了しないでエラーをブラウザに返したい。 – コードはWebサーバーと同じプロセスで実行したい 調査 ということで調べていたらsafelevelを使えばいいらしい – Programming Ruby: The Pragmatic Programmer's Guide – Rubyのセーフレベル4環境とその使い方 – ￢￢日常日記 $SAFEに0〜
REXML におけるエンティティ展開に伴うサービス不能攻撃について (CVE-2013-1821) | Ruby
Posted by usa on 22 Feb 2013 REXML において、厳格でないエンティティ展開により、サービス不能攻撃が可能となる脆弱性が報告されました。 この脆弱性は CVE-2013-1821 として CVE に登録されています。 ユーザーの皆さんには ruby を更新することを強くお勧めします。 詳細 XML ドキュメントからテキストのノードを読み込む際、REXML のパーサに極めて巨大な String オブジェクトを生成させ、マシン上のメモリを使い果たさせてサービス不能攻撃を成立させることができます。 影響を受けるのは以下のようなコードです: document = REXML::Document.new some_xml_doc document.root.text `text` メソッドが呼ばれる際、XML のエンティティが展開されます。 攻撃者の送信する XML ド
YAML f7u12
YAML seems to be getting a bad rap lately, and I’m not surprised. YAML was used as the attack vector to execute arbitrary code in a Rails process and was even used to steal secrets from rubygems.org. Let’s try to dissect the attack vector used, and see how YAML fits in to the picture. The Metasploit Exploit First lets cover the most widely known vector. We (the Rails Security Team) have had report
RDoc で生成した HTML ドキュメントにおける XSS 脆弱性 (CVE-2013-0256) | Ruby
Posted by usa on 6 Feb 2013 ruby にバンドルされている RDoc が生成する HTML ドキュメントにおいて、クロスサイトスクリプティング攻撃を行うことができる脆弱性 (XSS 脆弱性) が報告されました。 全ての ruby ユーザーは、この問題に対するセキュリティフィックスが含まれた RDoc をバンドルするバージョンに更新することが推奨されます。 また、現在、RDoc が生成した HTML ドキュメントを公開している場合は、以下に示すパッチを適用するか、またはセキュリティフィックスを含む RDoc を利用して HTML ドキュメントを再生成する必要があります。 影響 RDoc 2.3.0 から 3.12.0、および、4.0.0.preview2.1 以前のプレリリース版を利用して生成された HTML ドキュメントには、XSS 脆弱性が存在します。 これを
DoSの脆弱性に対処したRuby on Railsが公開
Rails Core Teaｍは26日(米国時間)、Ruby on Railsに発見された脆弱性に対処したバージョンを公開した。Ruby on RailsはRubyで開発されたWebアプリケーションフレームワーク。これまでと比べて素早くシステムを組み上げられるよう設計されており、短時間でWebアプリケーションを構築できるという特徴をもっている。 発見された脆弱性に対処したのは「Ruby on Rails 3.2.7」、「Ruby on Rails 3.1.7」、「Ruby on Rails 3.0.16」の3つのバージョン。どのバージョンもDoS攻撃を受ける可能性がある重大な脆弱性に問題に対処している。この問題(CVE-2012-3424)は、authenticate_or_request_with_http_digestにおけるDoS脆弱性で、Railsのアクションパックダイジェスト処理
Ruby、RubyGemsのセキュリティ問題を対処
Ruby 1.9系にあったセキュリティ問題を修正した「Ruby 1.9.3-p194」及び「Ruby 1.9.2-p320」が公開された。どちらもRubyスクリプト言語用のパッケージ管理フレームワーク「RubyGems」のバージョンを1.8.23に更新し、RubyGemsにあった脆弱性に対処している。 RubyGems 1.8.23で、SSLサーバ証明書の検証を行う機能の導入とhttpsからhttpへのリダイレクトを許可しないようにする2つセキュリティ修正が行われている。この修正によって、RubyGemsはhttpsと安全に通信できるようになる。 RubyGems 1.8.23のリリースノートによると、SSL証明書の使用は、.gemrcや/etc/gemrcで「:ssl_ca_cert」オプション及び「:ssl_verify_mode」オプションで設定するという。また、「:ssl_ca_c
github の mass assignment 脆弱性が突かれた件
Github に脆弱性。やった人は Rails に有りがちな脆弱性を issue に挙げていたが相手にされず、実際にそれを突いてきた。一見 childish だが、それだけ簡単に脆弱な実装がなされてしまうということだ。週明けの今日、Rubyist はまず関連情報に一読を。 — Yuki Nishijima (@yuki24) March 4, 2012 気になって調べたのでメモ。自分も気をつけないとなー。 Public Key Security Vulnerability and Mitigation - github.com/blog/ github に脆弱性があってそれが突かれたらしい。 Rails アプリにありがちな脆弱性の一つ、Mass assignment とかいうタイプの脆弱性である。 mass assignment 脆弱性とは mass assignment 脆弱性とは何か、
monoweb.info - このウェブサイトは販売用です！ - monoweb リソースおよび情報
このウェブサイトは販売用です！ monoweb.info は、あなたがお探しの情報の全ての最新かつ最適なソースです。一般トピックからここから検索できる内容は、monoweb.infoが全てとなります。あなたがお探しの内容が見つかることを願っています！
Exceptionのメソッドの$SAFE機構をバイパス可能な脆弱性について | Ruby
Posted by Shugo Maeda on 18 Feb 2011 Exception#to_sメソッドに$SAFEによるチェックを回避できる脆弱性が発見されました。この脆弱性により、信頼されないコードによって任意の文字列の変更が可能です。 詳細 Rubyの$SAFE機構では、セーフレベル4は信頼されないコードの実行に利用されます。このため、セーフレベル4以上では、サンドボックスの外部のデータを信頼されないコードから保護するため、ある種の操作が制限されます。 Exception#to_sの処理にこの機構に関する問題が発見されました。このメソッドによりセーフレベル機構が回避され、汚染されていない文字列が汚染された状態に破壊的に変更されます。これによって、以下のように、攻撃者は任意の文字列を変更することができます。 $secret_path = "foo" proc do $SAFE =
FileUtilsのsymlink race attack脆弱性について | Ruby
Posted by Shugo Maeda on 18 Feb 2011 symlink race condition 脆弱性がFileUtils.remove_entry_secureに発見されました。この脆弱性によって、ローカルユーザが任意のファイルやディレクトリを削除可能です。 影響のあるバージョン Ruby 1.8.6 patchlevel 420 以前のバージョン Ruby 1.8.7 patchlevel 330 以前のバージョン Ruby 1.8の開発バージョン (1.8.8dev) Ruby 1.9.1 patchlevel 430 以前のバージョン Ruby 1.9.2 patchlevel 136 以前のバージョン Ruby 1.9の開発バージョン (1.9.3dev) 解決策 この脆弱性の影響を受けるすべてのユーザは、修正されたバージョンにアップグレードしてください。
JVN#30414126: Ruby Version Manager におけるエスケープシーケンスインジェクションの脆弱性
JVN#30414126 Ruby Version Manager におけるエスケープシーケンスインジェクションの脆弱性
Ruby 1.9.2リリースとWEBrick脆弱性問題の顛末 - 西尾泰和のはてなダイアリー
はい、Ruby 1.9.2がリリースされましたね。このバージョンではWEBrick にゼロデイ攻撃可能な脆弱性 - スラッシュドット・ジャパンで紹介されている脆弱性が僕が書いたパッチで修正されているわけなのですけど、そもそもなんで僕が修正しているのか、って顛末がわりと面白いので紹介します。 Apple、upstreamに報告してくれないまま脆弱性をCVEに届け出る upstreamに連絡が来ないまま脆弱性が公開される ruby-devにAppleが書いたと思われるパッチが貼られる(Appleでない人間によって) パッチのライセンスが不明なので取り込めない ライセンスを問い合わせるAppleの窓口が不明なので問い合わせもできない ruby-devを読んだ人はライセンス上安全なパッチを書けない 脆弱性だから話は非公開に進めたい yuguiさんがruby-devを読んでない僕に書かせることにする
Ruby 1.9.1-p430 リリース | Ruby
Posted by maki on 16 Aug 2010 Ruby 1.9.1-p430 がリリースされました。このリリースはCVE-2010-0541に対する脆弱性修正が含まれています。詳しくは脆弱性の報告を参照ください。 全てのRuby 1.9.1を使用しているユーザは1.9.1-p430にアップグレードすることを推奨します。 ダウンロード <URL:https://cache.ruby-lang.org/pub/ruby/1.9/ruby-1.9.1-p430.tar.bz2> SIZE 7299829 bytes MD5 f855103aebeb3318dccb409319b547a0 SHA256 8d5cc11d819e476fb651db783f714cc4100922f47447f7acdce87ed769cf9d97 <URL:https://cache.ruby-la
WEBrick にゼロデイ攻撃可能な脆弱性 - スラッシュドット・ジャパン
[ruby-dev:42003] から始まるスレッド によると、Ruby に添付の Web サーバフレームワーク WEBrick に XSS 可能な脆弱性が発見されたらしい。 ところが、この脆弱性を発見したのは Apple のようなのだが、Mac OS X 同梱の Ruby については既にセキュリティアップデートで対応が行われたのに、Ruby 本体側では未だに一切の対応がなされていないようだ。つまり、Mac OS X 同梱ではない Ruby に添付の WEBrick を使用している Web サービスについては、現在、ゼロデイ攻撃が可能な脆弱性が存在するということになる。 Apple が Ruby 本体側に情報を開示しないままに脆弱性の公開を許可してしまったのか、それとも Ruby 本体側の対応が遅れてしまって公開期限に間に合わなかったのか、はたまた別の問題があったのか。なんにせよ、どうして
WEBrickにエスケープシーケンス挿入の脆弱性 | Ruby
Posted by Yugui on 10 Jan 2010 Ruby添付ライブラリの一部であるWEBrickに脆弱性が発見されました。 WEBrickは攻撃者が悪意のあるエスケープシーケンスをログに挿入することを許してしまうので、ログを閲覧する際に端末エミュレータで危険な制御文字を実行されることがあります。 この問題は既に修正済みです。直ちにすべてのアクティブなブランチのリリースが行われます。 WEBrickプロセスを更新するまでは、WEBrickのログを閲覧しないことをお奨めします。 詳細 端末エスケープシーケンスは端末とその内部のプロセスとの間の様々なやりとりに用いられます。 ここで、ネットワーク入力のような信頼されていない情報源からシーケンスが発行されることは想定されていません。そのため外部の攻撃者がエスケープシーケンスをWEBrickのログに挿入しそのログを閲覧したとすると、攻撃
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://inagist.com/all/514985282639118338/
http://rubysource.com/anatomy-of-an-exploit-an-in-depth-look-at-the-rails-yaml-vulnerability/
