Ruby

CVE-2019-16254: WEBrick 中的 HTTP 响应拆分漏洞（额外修复）

由 mame 发布于 2019 年 10 月 1 日

Ruby 中捆绑的 WEBrick 存在 HTTP 响应拆分漏洞。此漏洞已被分配 CVE 标识符 CVE-2019-16254。

详情

如果一个使用 WEBrick 的程序将不可信的输入插入到响应头中，攻击者就可以利用它插入一个换行符来分割头部，并注入恶意内容来欺骗客户端。

这是与 CVE-2017-17742 相同的问题。之前的修复不完整，它处理了 CRLF 向量，但并未处理单独的 CR 或单独的 LF。

所有运行受影响版本的用户都应立即升级。

受影响的版本

  • Ruby 2.3或更早的所有版本
  • Ruby 2.4系列：Ruby 2.4.7或更早版本
  • Ruby 2.5系列：Ruby 2.5.6或更早版本
  • Ruby 2.6系列：Ruby 2.6.4或更早版本
  • Ruby 2.7.0-preview1
  • 在 master commit 3ce238b5f9795581eb84114dcfbdf4aa086bfecc 之前

致谢

感谢 znz 发现此问题。

历史

  • 最初发布于 2019-10-01 11:00:00 (UTC)

近期新闻

Ruby 4.0.0 发布

我们很高兴地宣布 Ruby 4.0.0 的发布。Ruby 4.0 引入了“Ruby Box”和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 25 日

Ruby 文档的全新外观

继 ruby-lang.org 重新设计之后，我们还有更多好消息来庆祝 Ruby 成立 30 周年：docs.ruby-lang.org 采用了 Aliki——RDoc 的新默认主题，焕然一新。

由 Stan Lo 发布于 2025 年 12 月 23 日

重新设计我们的网站标识

我们很高兴地宣布对我们的网站进行全面重新设计。此次更新的设计由 Akatsuka Taeko 创作。

由 Hiroshi SHIBATA 发布于 2025 年 12 月 22 日

Ruby 4.0.0 preview3 发布

我们很高兴地宣布 Ruby 4.0.0-preview3 的发布。Ruby 4.0 引入了 Ruby::Box 和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 18 日

更多新闻...