最近发现的两个安全问题给 Ruby on Rails 社区带来了一些忙乱，每个 Rails 开发者都必须注意近期发布的升级包。
易受攻击的跨站脚本
第一，可能是最严重的就是 Brian Mastenbook 发现的跨站脚本（XSS）的脆弱，并且在他的博客中报告了这个问题。Brian 描述了他是如何对 Twitter 和 37signals Basecamp 的 Ruby on Rails 进行跨站脚本攻击的。
我的注意力很快地转向了Twitter，这是我当时运行的唯一一个 Web 应用程序。一会儿，我发现一个 URL 查询参数中的 Javascript 代码导致溢出，在 twitter.com 的主体中运行。是的！跨站脚本，这就是 Twitter 蠕虫的制作方法。但是这个问题是只针对 Twitter，还是能够在其他站点运行？我很快用一个测试Basecamp账号进行了实验。Basecamp 也是和 Twitter 类似，使用了Ruby on Rails作为其 Web 前端，所以这是一个测试上述问题是只针对 Twitter 还是普遍存在于 Rails 中的好办法。果不其然，同样的能够攻击 Twitter 的恶意 UTF-8 字符串也能够影响 Basecamp。
虽然这种攻击的可能性不是很高，但是 Ruby on Rails 团队很快做出了反映，检查了这个报告并且为 Rails 2.0 - 2.3 发布了补丁。
这些补丁是 git-am 格式的，包含两个更新部分。清理多字节字符串的代码和这些代码的相关帮助。
团队建议将不支持的 Rails 升级到现在的版本，因为未来发现的问题解决方案也可能不会支持本次未支持的版本。我们要注意，只有 Rails 2.2.x 和 2.3.x 是将来肯定会支持的。
脆弱的计时器
另外一个问题类似于计时器攻击。这种攻击和 Rails 验证储存在 cookie 中的消息摘要有关，这个缺陷允许一个攻击者来决定伪造签名能够在什么时候通过验证。这可能诱引其他的攻击，例如伪造摘要。
Rails 团队承认这种攻击是不太可能的，但是他们还是建议打上补丁。补丁现在只是支持 Rails 2.2.x 和 2.3.x：
这些补丁是 git-am 格式的，现在只是包含了单一的代码部分。
Coda Hale 是这个 Rails 计时器问题的发现者。他的网站很好地解释了计时器问题的概念以及它们是如何被利用的。
Ruby on Rails 2.3.4
Rails 开发者还是没有忘记给他们运行在Ruby on Rails 2.3.4的 Rails 程序打上最新的补丁，这个补丁修正了一些 bug，并且处理了上述两个安全问题。
安全修复
2.3.4 修复了两个报告给我们的安全问题。欲知详情请查看安全通告。
Bug 修正
感谢BugMash的帮助，我们在这个版本中修复了大约 100 个 bug。当然不会修复在开发模式下和 rack 中间件以及 rails metal 封装引起的重载问题。
这个版本也包括了一个新特性，能够通过一个简单的 rake db:seed 命令将 seed 数据添加到项目数据库。
注册/登录 InfoQ 发表评论