Ruby发现众多安全缺陷，Safe Level、WEBrick、Dl和DNS查找皆受影响_Ruby_Werner Schuster_InfoQ精选文章

其中的一个问题来自 safe levels 。通过设置 safe level，可以禁止操作和定义被认为是污染了的数据。Ruby 中的污染数据（Tainted Data）在使用前必须显式的净化。被发现的安全缺陷有：- untrace_var 在 safe level 4 是允许的

$PROGRAM_NAME 在 safe level 4 是可以修改的
不安全的方法在 safe level 1-3 可能可以调用
Syslog 操作在 safe level 4 是允许的

请看带有代码实例的缺陷列表。另一个和污染数据相关的问题来自于 dl。dl 程序库允许用户载入动态库并调用其中的函数。因为 dl 并没有检测传入参数的被污染程度，因此可以借此来实现缓冲区溢出（exploits）攻击。

在 WEBrick 中也发现了安全缺陷，这可能会导致拒绝服务（DoS）攻击。问题源自用于响应和解析 HTTP 头的部分代码导致──在特定的数据下，正则引擎会挂掉导致程序终止。

对于 1.8.x 的用户，解决方法是升级至 1.8.6-p286 和 1.8.7-p71。对于 1.9.x 的 Ruby 用户，似乎当前最好的解决方法就是从 SVN 中取得最新的代码──所有在 r18423 之后的版本应该都是安全的。

最后，提醒一句：虽然最近发现的 Ruby 解释器的问题已经解决了──但是第一个修复版存在兼容性的问题。在将其正式投入产品级应用以前，要对升级进行仔细的测试。

评论

发布

暂无评论

实现-最佳实践-难事开头V3

实现-最佳实践-学做一道菜V3

百度副总裁陈洋：大模型让软件开发更高效、更安全

2024网安周 | 百度安全深度参与，探索人工智能与数字安全的融合发展之路

实现-最佳实践-规划开头V3

实现-最佳实践-权益维护抉择V3

实现-最佳实践-睡前复盘V3

实现-最佳实践-蒜蓉扇贝V3

腾讯云AI代码助手：智能AI代码助手，新一代的高效代码开发辅助工具

腾讯云科技代码自动生成

实现-最佳实践-目标觉知V3

实现-最佳实践-人生规划V3

实现-最佳实践-善于分享V3

实现-最佳实践-适应高度刺激V3

实现-最佳实践-要事第一V3

实现-最佳实践-资料查找V3

Groovy 是一门 DSL 语言

从“群聊”到“一单到底”，天润融通工单系统助力品牌服务升级

一个示例了解什么是 API 集成

实现-最佳实践-精力管理V3

实现-最佳实践-目标制定V3

深入剖析酷睿i7-14700KF与锐龙7 7800X3D：谁才是优秀多面手处理器

AM Green收购Chempolis下一代2G生物燃料技术；投资10亿美元生产SAF

一步迈入数智化，华为坤灵助力中小企业轻松飞跃

AI 数智化分销

精通Java并发锁机制：24种锁技巧+业务锁匹配方案（第一部分）

肖哥弹架构

Java 锁高并发