Ruby のセキュリティ問題に関連する情報を紹介します。
セキュリティ問題の報告窓口
Ruby のセキュリティに関する問題の報告は、HackerOne へ issue を登録することによって行えます。 報告の際には、該当ページに記されている取り扱われる問題の範囲について、よく確認してください。 報告された内容については、それが確認され、対策が講じられた後に、一般に公開されます。
また、何らかの理由で HackerOne を使えないあるいは使いたくない場合は、security@ruby-lang.org (PGP 公開鍵) でも報告を受け付けています。 security@ruby-lang.org は非公開 ML で、報告された問題が確認され、対策が講じられた後に、問題が一般に公開されます。
このメーリングリストのメンバーは Ruby を提供している人々 (Ruby コミッタやその他 Ruby 処理系の作者、ディストリビュータ、PaaS プラットフォーム提供者など) です。 メンバーは必ず個人である必要があり、メーリングリストは許可されておりません。
既知のセキュリティ問題
See the English page for a complete and up-to-date list of security vulnerabilities. The following list only includes the as yet translated security announcements, it might be incomplete or outdated.
新しいものから順に並べています。
- CVE-2025-43857: net-imap gem のDoS脆弱性
2025年04月28日 - セキュリティアドバイザリ: CVE-2025-27219、CVE-2025-27220、および CVE-2025-27221
2025年02月26日 - CVE-2025-25186: net-imap gem の DoS の脆弱性
2025年02月10日 - CVE-2024-49761: REXML の ReDoS 脆弱性
2024年10月28日 - CVE-2024-43398: REXML内のDoS脆弱性
2024年08月22日 - CVE-2024-41946: REXML内のDoS脆弱性
2024年08月01日 - CVE-2024-41123: REXML内のDoS脆弱性
2024年08月01日 - CVE-2024-39908: REXML内のDoS脆弱性
2024年07月16日 - CVE-2024-35176: REXML内のDoS脆弱性
2024年05月16日 - CVE-2024-27282: 正規表現検索における任意のメモリアドレス読み取りの脆弱性
2024年04月23日 - CVE-2024-27281: RDoc 内の .rdoc_options におけるRCE 脆弱性
2024年03月21日 - CVE-2024-27280: StringIOにおけるバッファーオーバーリード脆弱性
2024年03月21日 - CVE-2023-36617: URI における ReDoS 脆弱性について
2023年06月29日 - CVE-2023-28756: Time における ReDoS 脆弱性について
2023年03月30日 - CVE-2023-28755: URI における ReDoS 脆弱性について
2023年03月28日 - CVE-2021-33621: CGI 内の HTTP レスポンス分割
2022年11月22日 - CVE-2022-28738: Regexp コンパイル時のダブルフリー
2022年04月12日 - CVE-2022-28739: String から Float 変換時のバッファオーバーラン
2022年04月12日 - CVE-2021-41819: CGI::Cookie.parse 内の Cookie プレフィックスの偽装
2021年11月24日 - CVE-2021-41816: CGI.escape_html 内のバッファオーバーラン
2021年11月24日 - CVE-2021-41817: 日付をパースするメソッドにおける正規表現 Denial of Service の脆弱性について
2021年11月15日 - CVE-2021-31810: Net::FTP における信頼性のある FTP PASV 応答の脆弱性について
2021年07月07日 - CVE-2021-32066: Net::IMAP 内の StartTLS ストリッピングの脆弱性について
2021年07月07日 - CVE-2021-31799: RDoc におけるコマンドインジェクションの脆弱性について
2021年05月02日 - CVE-2021-28965: REXML 内の XML ラウンドトリップ脆弱性について
2021年04月05日 - CVE-2021-28966: Windows 版 Tempfile 内のパストラバーサルについて
2021年04月05日 - CVE-2020-25613: WEBrick 内の潜在的な HTTP リクエストスマグリングの脆弱性について
2020年09月29日 - CVE-2020-10933: socketライブラリのヒープ暴露脆弱性について
2020年03月31日 - CVE-2020-10663: JSON における安全でないオブジェクトの生成の脆弱性について(追加の修正)
2020年03月19日 - CVE-2019-16201: WEBrickのDigest認証に関する正規表現Denial of Serviceの脆弱性
2019年10月01日 - CVE-2019-15845: File.fnmatch の NUL 文字挿入脆弱性
2019年10月01日 - CVE-2019-16254: WEBrick における HTTP レスポンス偽装の脆弱性について(追加の修正)
2019年10月01日 - CVE-2019-16255: Shell#[]およびShell#testのコード挿入脆弱性
2019年10月01日 - RDoc における jQuery の脆弱性について
2019年08月28日 - RubyGems の複数の脆弱性について
2019年03月05日 - CVE-2018-16395: OpenSSL::X509::Name の同一性判定が機能していない脆弱性について
2018年10月17日 - CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性について
2018年10月17日 - CVE-2018-6914: Tempfile および Tmpdir でのディレクトリトラバーサルを伴う意図しないファイルまたはディレクトリ作成の脆弱性について
2018年03月28日 - CVE-2018-8779: UNIX ドメインソケットにおいて NUL 文字挿入により意図しないソケットにアクセスされうる脆弱性について
2018年03月28日 - CVE-2018-8780: Dir において NUL 文字挿入により意図しないディレクトリにアクセスされうる脆弱性について
2018年03月28日 - CVE-2018-8777: WEBrick における巨大リクエストにともなう DoS 脆弱性について
2018年03月28日 - CVE-2017-17742: WEBrick における HTTP レスポンス偽装の脆弱性について
2018年03月28日 - CVE-2018-8778: String#unpack における範囲外読み込みの脆弱性について
2018年03月28日 - RubyGems の複数の脆弱性について
2018年02月17日 - CVE-2017-17405: Net::FTP におけるコマンドインジェクションの脆弱性について
2017年12月14日 - CVE-2017-10784: WEBrick の BASIC 認証におけるエスケープシーケンス挿入の脆弱性について
2017年09月14日 - CVE-2017-0898: Kernel.sprintf におけるバッファーアンダーランについて
2017年09月14日 - CVE-2017-14033: OpenSSL の ASN1 デコードにおけるバッファーアンダーランについて
2017年09月14日 - CVE-2017-14064: JSON の生成時におけるヒープ暴露について
2017年09月14日 - RubyGems の複数の脆弱性について
2017年08月29日 - CVE-2015-7551: Fiddle と DL における tainted 文字列使用時の脆弱性について
2015年12月16日 - CVE-2015-1855: Ruby OpenSSL ホスト名検証の脆弱性
2015年04月13日 - CVE-2014-8090: REXML における XML 展開に伴う新たなサービス不能攻撃について
2014年11月13日 - CVE-2014-8080: REXML におけるXML展開に伴うサービス不能攻撃について
2014年10月27日 - ext/openssl のデフォルト設定の変更について
2014年10月27日 - 脆弱性 CVE-2014-2734 の争点について
2014年05月09日 - OpenSSL の TLS ハートビート拡張による重大な脆弱性について(CVE-2014-0160)
2014年04月10日 - YAML の URI エスケープ処理におけるヒープオーバーフローについて (CVE-2014-2525)
2014年03月29日 - 浮動小数点数パースにおけるヒープオーバーフロー (CVE-2013-4164)
2013年11月22日 - OpenSSL クライアントにおけるホスト名検証バイパス脆弱性 (CVE-2013-4073)
2013年06月27日 - DL および Fiddle におけるオブジェクト汚染フラグバイパス (CVE-2013-2065)
2013年05月14日
- REXML におけるエンティティ展開に伴うサービス不能攻撃について 2013年02月22日公開
- JSON におけるサービス不能攻撃および安全でないオブジェクトの生成について (CVE-2013-0269) 2013年02月22日公開
- RDoc で生成した HTML ドキュメントにおける XSS 脆弱性 (CVE-2013-0256) 2013年02月06日公開
- ruby 1.9 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2012-5371) 2012年11月10日公開
- 不当な NUL 文字挿入によって意図しないファイルが生成されうる脆弱性の対応 2012年10月12日公開
- Exception#to_s 等による $SAFE 機構をバイパス可能な脆弱性の対応 (CVE-2012-4464, CVE-2012-4466) 2012年10月12日公開
- Security Fix for RubyGems: SSL server verification failure for remote repository 2012年4月20日公開
- Security Fix for Ruby OpenSSL module: Allow 0/n splitting as a prevention for the TLS BEAST attack 2012年2月16日公開
- ruby 1.8 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2011-4815) 2011年12月28日公開
- Exceptionのメソッドの$SAFE機構をバイパス可能な脆弱性について 2011年2月18日公開
- FileUtilsのsymlink race attack脆弱性について 2011年2月18日公開
- WEBrickのXSS脆弱性 (CVE-2010-0541) 2010年8月16日公開
- ARGF.inplace_mode=にバッファーオーバーフロー 2010年7月2日公開
- WEBrickにエスケープシーケンス挿入の脆弱性 2010年1月10日公開
- Stringのヒープオーバーフロー 2009年12月7日公開
- BigDecimalのDoS脆弱性 2009年6月10日公開
- DLで汚染チェックが行われない脆弱性 2009年5月12日公開
- REXMLのDoS脆弱性 2008年8月23日公開
- Rubyに複数の脆弱性 2008年8月8日公開
- 任意のコードが実行される脆弱性について 2008年6月20日公開
- WEBrickの非公開ファイルにアクセスされる脆弱性について 2008年3月3日公開
- net/httpsライブラリにおける「中間者によるなりすまし攻撃」に対する脆弱性について 2007年10月4日公開
- もう一つのCGIライブラリのDoS脆弱性について 2006年12月4日公開
- CGIライブラリのDoS脆弱性について 2006年11月2日公開
- alias機能の問題でセーフレベル4がサンドボックスとして機能しない脆弱性について 2006年9月13日公開
- 特定メソッドの問題でセーフレベル 4 がサンドボックスとして機能しない脆弱性について 2006年9月13日公開
- XMLRPC DoS脆弱性について 2005年11月21日公開
- WEBrick DoS脆弱性について 2005年11月21日公開
- セーフレベルの設定が回避可能となる脆弱性について 2005年9月22日公開
- XMLRPC.iPIMethodsの脆弱性について 2005年7月1日公開
Posted by usa on 02 Jun 2006