发布者：usa，于 2018 年 3 月 28 日
Ruby 捆绑的 WEBrick 中存在 HTTP 响应拆分漏洞。此漏洞的 CVE 标识符为 CVE-2017-17742。
详情
如果脚本接受外部输入并在不修改的情况下将其作为 HTTP 响应的一部分输出，攻击者可以使用换行符欺骗客户端，使之认为 HTTP 响应头在此处停止，并在换行符后注入伪造的 HTTP 响应，从而向客户端显示恶意内容。
所有运行受影响版本的用户应立即升级。
受影响的版本
- Ruby 2.2 系列：2.2.9 及更早版本
- Ruby 2.3 系列：2.3.6 及更早版本
- Ruby 2.4 系列：2.4.3 及更早版本
- Ruby 2.5 系列：2.5.0 及更早版本
- Ruby 2.6 系列：2.6.0-preview1
- 早于 trunk 修订版 r62968
鸣谢
感谢 Aaron Patterson [email protected] 报告此问题。
历史
- 最初发布于 2018-03-28 14:00:00 (UTC)