Ruby

FileUtils 易受符号链接竞争攻击的影响

由 Urabe Shyouhei 发布于 2011 年 2 月 18 日

在 FileUtils.remove_entry_secure 中发现了一个符号链接竞争条件漏洞。该漏洞允许本地用户删除任意文件和目录。

受影响的版本

  • Ruby 1.8.6 patchlevel 420 及之前所有版本
  • Ruby 1.8.7 patchlevel 330 及之前所有版本
  • Ruby 1.8 的开发版本 (1.8.8dev)
  • Ruby 1.9.1 patchlevel 430 及之前所有版本
  • Ruby 1.9.2 patchlevel 136 及之前所有版本
  • Ruby 1.9 开发版本 (1.9.3dev)

解决方案

我们已修复此情况。建议所有受影响用户升级其 Ruby 安装。

但请注意，当您想要删除的任何上层目录由您不信任的人拥有时，符号链接竞争攻击是无法避免的。因此，如果您想要安全，就必须确保 **所有** 父目录都不能被其他不信任的用户移动。例如，父目录不应由不信任的用户拥有，并且除了设置了粘滞位（sticky bit）的情况外，不应是全局可写的。

更新

近期新闻

Ruby 4.0.0 发布

我们很高兴地宣布 Ruby 4.0.0 的发布。Ruby 4.0 引入了“Ruby Box”和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 25 日

Ruby 文档的全新外观

继 ruby-lang.org 重新设计之后，我们还有更多好消息来庆祝 Ruby 成立 30 周年：docs.ruby-lang.org 采用了 Aliki——RDoc 的新默认主题，焕然一新。

由 Stan Lo 发布于 2025 年 12 月 23 日

重新设计我们的网站标识

我们很高兴地宣布对我们的网站进行全面重新设计。此次更新的设计由 Akatsuka Taeko 创作。

由 Hiroshi SHIBATA 发布于 2025 年 12 月 22 日

Ruby 4.0.0 preview3 发布

我们很高兴地宣布 Ruby 4.0.0-preview3 的发布。Ruby 4.0 引入了 Ruby::Box 和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 18 日

更多新闻...