Ruby

CVE-2020-25613: WEBrick 中潜在的 HTTP 请求走私漏洞

由 mame 发布于 2020 年 9 月 29 日

WEBrick 中发现了一个潜在的 HTTP 请求走私漏洞。该漏洞已被分配 CVE 标识符 CVE-2020-25613。我们强烈建议升级 webrick gem。

详情

WEBrick 对无效的 Transfer-Encoding 头部过于宽容。这可能导致 WEBrick 和某些 HTTP 代理服务器之间的解释不一致，从而允许攻击者“走私”请求。详情请参阅 CWE-444。

请将 webrick gem 更新至 1.6.1 或更高版本。您可以使用 gem update webrick 进行更新。如果您使用的是 bundler，请在您的 Gemfile 中添加 gem "webrick", ">= 1.6.1"。

受影响的版本

  • webrick gem 1.6.0 或更早版本
  • ruby 2.7.1 或更早版本中 bundled 的 webrick 版本
  • ruby 2.6.6 或更早版本中 bundled 的 webrick 版本
  • ruby 2.5.8 或更早版本中 bundled 的 webrick 版本

致谢

感谢 piao 发现此问题。

历史

  • 首次发布于 2020-09-29 06:30:00 (UTC)

近期新闻

Ruby 4.0.0 发布

我们很高兴地宣布 Ruby 4.0.0 的发布。Ruby 4.0 引入了“Ruby Box”和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 25 日

Ruby 文档的全新外观

继 ruby-lang.org 重新设计之后，我们还有更多好消息来庆祝 Ruby 成立 30 周年：docs.ruby-lang.org 采用了 Aliki——RDoc 的新默认主题，焕然一新。

由 Stan Lo 发布于 2025 年 12 月 23 日

重新设计我们的网站标识

我们很高兴地宣布对我们的网站进行全面重新设计。此次更新的设计由 Akatsuka Taeko 创作。

由 Hiroshi SHIBATA 发布于 2025 年 12 月 22 日

Ruby 4.0.0 preview3 发布

我们很高兴地宣布 Ruby 4.0.0-preview3 的发布。Ruby 4.0 引入了 Ruby::Box 和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 18 日

更多新闻...