パスワードを忘れた？ アカウント作成
Close
10398 story

ruby-1.8.2に任意のコマンド実行の脆弱性 23

ストーリー by GetSet
見落とさないよう注意、注意 部門より

ferrocyan曰く、"FreeBSDのportaudit経由、CAN-2005-1992によると、バージョン1.8.2以前のrubyに含まれるXMLRPCサーバーに、リモートの攻撃者に任意のコマンド実行を許してしまう脆弱性が発見されました。原因は、utils.rb内で、不適切なデフォルト値が使用されているというもの。発見者により、既にパッチも提案されているので、対策はお済みの方も多いと思いますが、タレコミ時点でFreeBSDのportはまだ修正されていないようなので、ご注意を。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

ruby-1.8.2に任意のコマンド実行の脆弱性 More

  • FrSIRT から現地時間の22日に出てた奴 [frsirt.com]ね・・・ところで、port は修正されていないとの事ですが、問題発見者のレポートにあるパッチ [nagaokaut.ac.jp]を手で当てるというのではダメ? (実は私もまだ対策していなかったりしますが)

    • Vine(6/27), Turbo(6/28) って感じなので、ぼつぼつアップデートを。

      Fedora Core は 6/21。手で当てようとしたら yum がもう入れてくれてた。

  • 公式サイトより早い/.J (スコア:1)

    by cwind (23872) on 2005年06月27日 23時49分 (#759000)
    まぁ、公式サイト [ruby-lang.org]に掲載されていないだけで、関係者はもちろん知っているとは思いますが。
    先に/.Jで情報を仕入れてしまうとなんだかビミョウな気分。

    ♯自分の環境はたった今Fixしましたよ、えぇ。
    --
    cWind - 情報は自ら求める者の元に集う

  • 脆弱性 (スコア:1, おもしろおかしい)

    by Anonymous Coward on 2005年06月28日 9時21分 (#759165)
    友人が真顔で「ひんじゃくせいって何？」と言っていた。
    ありがちだとは思ってたけど、ホントに言われたのは初めてでビックリした。

    • Re:脆弱性 (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2005年06月28日 9時29分 (#759169)
      「ふははははは！脆弱脆弱ぅ！！！！！」
      シェア
      親コメント

      • Re:脆弱性 (スコア:0)

        by Anonymous Coward
        きじゃくせいでしょ？

        • Re:脆弱性 (スコア:0)

          by Anonymous Coward
          きじゃくせいはよく聞くが，ひんじゃくせいはめったに聞かないから驚いたという話では．

          • Re:脆弱性 (スコア:1)

            by G7 (3009) on 2005年06月28日 23時58分 (#759641)
            スラド初の、
            スラド発の誤読パターン、
            ということでしょうか？

            まあたまにはそんなお茶目な成果物(?)があってもいいと思いますよ。
            シェア
            親コメント

          • Re:脆弱性 (スコア:0)

            by Anonymous Coward
            きじゃくせいすら聞いた事ないんですけど…。

            • Re:脆弱性 (スコア:1)

              by Nomad-AY (2520) on 2005年06月28日 13時07分 (#759338) ホームページ
              >きじゃくせいすら聞いた事ないんですけど…。
              読みが不安な時に、あえて読まずに言葉を濁す人とばかり付き合っているからでは? (^^;

              「廉価」を「兼」でつられて「けんか」と読むのと同じくらいみかけませんか?
              それと同様に「危」でつられて「きじゃく」と読んでしまうのは、まだ理解できます。
              だがしかし、「ひんじゃく」というのは……やっぱり台詞なのかなぁ?

              --
              タブレット中毒者。
              シェア
              親コメント

            • Re:脆弱性 (スコア:0)

              by Anonymous Coward
              「もろよわせい」を提唱したい。
              使用例としては「せい」は省略して。

              使用例:「ふはははは！もろよわ、もろよわぁ～」

              ＃もっとクーラーきかせて欲しいのでAC

    • Re:脆弱性 (スコア:0)

      by Anonymous Coward
      ちなみに｢任意｣ってランダムの意味ですか?

  • mswin32 (スコア:1)

    by chanbaba (13080) on 2005年06月28日 11時29分 (#759275) ホームページ
    脆弱性の範囲が今一分からんが、端末に入れているのは「ruby 1.8.2 (2005-02-01) [i386-mswin32]」だから、1.8.2の最新スナップショットのバイナリー版が出て欲しいな。

    • Re:mswin32 (スコア:0)

      by Anonymous Coward
      Apache みたいにコンパイルしなければならないことが多いものなら
      ともかく、見た感じ .rb ファイルを１行直すだけみたいですから、
      さっさと直したいのであれば、該当のファイルを適当なエディタで
      修正するだけでもいいのではないかとおもいますけど……。
      影響の範囲がどのくらいあるかわかってないので、話半分くらいで聞いてくれた方がいいですけど

  • で？ (スコア:0)

    by Anonymous Coward on 2005年06月28日 0時22分 (#759021)
    rubyなアプリケーションも増えて来ているが、さて、何に備えるべきなのか...
    tdiaryとか引っ込めた方がいいんだろうか？

    • Re:で？ (スコア:2, 参考になる)

      by jmk (11245) on 2005年06月28日 0時52分 (#759041)
      XMLRPC使ってないなら問題ないに決まってんだろ。
      tDiary で関連すんのは pingback のサーバを運営する場合か、 xmlrpc プラグイン使ってる人だけ。大半は無関係。
      シェア
      親コメント

    • Re:で？ (スコア:0)

      by Anonymous Coward
      tdiary は少なくとも標準状態では xmlrpc server 機能は使っていないように見えます。plugin で使っているというのも標準配布分では無いんじゃないかなと。grep -i xmlrpc しただけなので正確なところは配布元の情報をあたってください。

      もし自分で当該ファイルを修正出来る権限を持っているなら、記事の patch を適用してしま

      • Re:で？ (スコア:1)

        by znz (2728) on 2005年06月28日 13時00分 (#759330) 日記
        http://cvs.sourceforge.net/viewcvs.py/tdiary/plugin/xmlrpc/xmlrpc.rb?rev=1.5&view=auto をみるとserver.add_handler('blogger.newPost')という感じで XMLRPC::iPIMethodsを使ってないからたぶん影響なし。
        シェア
        親コメント

  • 原因 (スコア:0)

    by Anonymous Coward on 2005年06月28日 10時03分 (#759197)
    「不適切なデフォルト値が使用されている」は原因ではなく、原因の場所を言っているだけだから、これではさっぱり何が原因だかわからないよ。

    • Re:原因 (スコア:0)

      by Anonymous Coward
      1.8以前のデフォルト引数が偽だったのが1.8以降から真に変わったので、意図しないメソッドが公開されるようになってしまい脆弱になったという感じですかね。

      http://www.ruby-lang.org/ja/man/?cmd=view;name=Module#public_instance_methods
typodupeerror

人生の大半の問題はスルー力で解決する -- スルー力研究専門家