रूबी के अधिकांश संस्करणों में सेवा से इनकार और संभावित मनमाना कोड निष्पादन

सम्मानित रूबी समुदाय को बधाई।

यह अजीब है कि यह खबर अभी तक हेबे पर नहीं है, लेकिन कल सुबह-सुबह, रूबी डेवलपर्स ने फ्लोटिंग-पॉइंट मानों को पार्स करते समय एक ढेर अतिप्रवाह की सूचना दी। भेद्यता को कोड CVE-2013-4164 सौंपा गया है। लोगों ने यह भी चेतावनी दी है कि यह त्रुटि कम से कम सेवा से इनकार कर सकती है, लेकिन एक निश्चित डिग्री की संभावना के साथ रूबी अनुप्रयोगों में मनमाना कोड लागू करना संभव है।

कमजोर संस्करणों की सूची:

• रूबी 1.8 के सभी संस्करण
• माणिक के सभी संस्करण 1.9 से 1.9.3 पैचवेल 484 तक
• रूबी 2.0 के सभी संस्करण 2.0.0 पैचवेल 353 तक
• रूबी 2.1 के सभी संस्करण 2.1.0 प्रीव्यू 2 तक
• 43780 में संशोधन से पहले ट्रंक के सभी संस्करण

भेद्यता विवरण

आधिकारिक पोस्ट में विवरण काफी दुर्लभ हैं। यह कहता है कि जब एक स्ट्रिंग को फ्लोटिंग-पॉइंट मान में परिवर्तित किया जाता है, तो एक विशेष रूप से गठित स्ट्रिंग ढेर अतिप्रवाह का कारण बन सकता है, जो बदले में सेवा से इनकार कर सकता है और मनमाना कोड का संभावित निष्पादन कर सकता है। कमजोर सभी प्रोग्राम हैं जो इस रूपांतरण का उपयोग करते हैं। सबसे आम उदाहरण तीसरे स्रोतों से JSON को स्वीकार करना और पार्स करना है।

कमजोर कोड इस तरह लग सकता है:

untrusted_data.to_f 

हालाँकि, कोई भी कोड जो बाहरी स्रोतों से फ्लोटिंग पॉइंट वैल्यू बनाता है, उदाहरण के लिए असुरक्षित है:

 JSON.parse untrusted_data 

निर्णय

डेवलपर्स माणिक 1.9.3 पैचवेल 484, रूबी 2.0.0 पैचवेल 353 या रूबी 2.1.0 प्रीव्यू 2 में अपग्रेड करने की सलाह देते हैं। संस्करण 1.8 को हटा दिया गया है और कोई भेद्यता तय नहीं की गई है । रूबी 1.8 उपयोगकर्ताओं को अधिक हाल के संस्करणों में अपग्रेड करने की सलाह दी जाती है।

UPD: केवल रूबी MRI प्रभावित है। रुबिनियस और जेरी वह प्रभावित नहीं करता है।