Vulnerabilità Ruby 1.9 e 2.0

https://www.ruby-lang.org/en/news/2013/11/22/heap-overflow-in-floating-point-parsing-cve-2013-4164/

“Any time a string is converted to a floating point value, a specially
crafted string can cause a heap overflow. This can lead to a denial of
service attack via segmentation faults and possibly arbitrary code
execution. Any program that converts input of unknown origin to floating
point values (especially common when accepting JSON) are vulnerable.”

La soluzione è

rvm upgrade ruby-1.9.3-pxxx ruby-1.9.3-p484
rvm upgrade ruby-2.0.0-pxxx ruby-2.0.0-p353

Tutte le 1.8 sono e restano vulnerabili.
Ah, c’è la 2.1 in preview, da aggiornare pure quella :slight_smile:

Paolo

Ciao Paolo, grazie per la segnalazione di questa e di omniauth-facebook.
Integro dicendo che a met ottobre anche la gemma cocaine stata
aggiornata per delle security issue: una remote code execution.

Ho scritto di tutte e tre le vulnerabilit sul mio blog:

codesake-dawn [1] gi in grado di eseguire i check per la issue di
relativa alla vulnerabilit di ruby, quella di omniauth-facebook e
quella di cocaine (non ho rilasciato una nuova versione della gemma,
solo messo nel repo i test)

[1]GitHub - thesp0nge/dawnscanner: Dawn is a static analysis security scanner for ruby written web applications. It supports Sinatra, Padrino and Ruby on Rails frameworks.

Qualcuno ha voglia di provare dawn assiema a brakeman e dirmi che ne
pensa?
Paolo

On 23 November 2013 11:19, Paolo M. [email protected]
wrote:

rvm upgrade ruby-1.9.3-pxxx ruby-1.9.3-p484
Ml mailing list
[email protected]
http://lists.ruby-it.org/mailman/listinfo/ml


$ cd /pub
$ more beer

The Application Security blog you really want to read:

Ciao Paolo, grazie per la segnalazione di questa e di omniauth-facebook.
Integro dicendo che a met ottobre anche la gemma cocaine stata
aggiornata per delle security issue: una remote code execution.

Ho scritto di tutte e tre le vulnerabilit sul mio blog:

codesake-dawn [1] gi in grado di eseguire i check per la issue di
relativa alla vulnerabilit di ruby, quella di omniauth-facebook e
quella di cocaine (non ho rilasciato una nuova versione della gemma,
solo messo nel repo i test)

[1]GitHub - thesp0nge/dawnscanner: Dawn is a static analysis security scanner for ruby written web applications. It supports Sinatra, Padrino and Ruby on Rails frameworks.

Paolo

On 23 November 2013 11:19, Paolo M. [email protected]
wrote:

rvm upgrade ruby-1.9.3-pxxx ruby-1.9.3-p484
Ml mailing list
[email protected]
http://lists.ruby-it.org/mailman/listinfo/ml


$ cd /pub
$ more beer

The Application Security blog you really want to read: