Car-tech

רובי און ריילס מקבלת את תיקוני האבטחה השלישי בתוך פחות מחודש

Python Web Apps with Flask by Ezra Zigmond

Python Web Apps with Flask by Ezra Zigmond
Anonim

מפתחי מסגרת הפיתוח של Ruby on Rails Web פרסמו גרסאות 3.0.20 ו- 2.3.16 של התוכנה ביום שני, כדי לטפל בכתובת פגיעות קריטית בביצוע קוד מרחוק.

זהו עדכון האבטחה השלישי שפורסם בינואר עבור Ruby on Rails, מסגרת פופולארית יותר ויותר לפיתוח יישומי אינטרנט באמצעות שפת התכנות של Ruby ששימשה לבניית אתרים כגון Hulu, GroupOn, GitHub, Scribd ועוד.

המפתחים של ריילס תיארו את העדכונים שפורסמו ביום שני כ"קרטי ביותר "בפוסט בבלוג ויעצו לכל המשתמשים של ענפי התוכנה 3.0.x ו- 2.3.x Rails לעדכן באופן מיידי. קריאה: כיצד להסיר תוכנות זדוניות מהמחשב Windows שלך]

על פי היידוע אבטחה המתאים, גרסאות חדשות שפורסמו Rails כתובת פגיעות בקוד Rails JSON (קוד אובייקט JavaScript) קוד המאפשר התוקפים לעקוף מערכות אימות, להזריק SQL שרירותי (Structured Query Language) לתוך מסד נתונים של יישום, להזריק ולבצע קוד שרירותי או לבצע התקפת מניעת שירות (DoS) נגד יישום.

מפתחי Rails ציינו כי למרות קבלת עדכון זה, רכבות 3.0.x הסניף כבר לא נתמך באופן רשמי. "שים לב כי רק הסדרה 2.3.x, 3.1.x ו- 3.2.x נתמכות כרגע", אמרו היועצים.

גירסאות משתמשים של Rails שאינן נתמכות עוד, מומלץ לשדרג בהקדם האפשרי לגירסה חדשה יותר נתמכת, מכיוון שלא ניתן להבטיח את זמינותם של תיקוני האבטחה עבור גרסאות שאינן נתמכות. הסניפים החדשים יותר של 3.1.x ו- 3.2.x אינם מושפעים מפגיעות זו.

פגיעות זו של Rails האחרונה מזוהה כ- CVE-2013-0333 והיא שונה מ- CVE-2013-0156, פגיעות הזרקת SQL קריטית שתוקנה את המסגרת ב -8 בינואר. מפתחי Rails הדגישו כי משתמשים של Rails 2.3 או 3.0 שהתקנו בעבר את התיקון עבור CVE-2013-0156 עדיין נדרשים להתקין את התיקון החדש שפורסם השבוע.