Ruby

CVE-2021-31810: Net::FTP 中信任 FTP PASV 响应的漏洞

由 shugo 发布于 2021年7月7日

在 Net::FTP 中发现了一个信任 PASV 响应的漏洞。该漏洞已分配 CVE 标识符 CVE-2021-31810。我们强烈建议升级 Ruby。

net-ftp 是 Ruby 3.0.1 的默认 gem，但存在打包问题，请升级 Ruby 本身。

详情

恶意的 FTP 服务器可以使用 PASV 响应来欺骗 Net::FTP 连接回指定的 IP 地址和端口。这可能使 Net::FTP 能够提取本应私密且不公开的服务信息（例如，攻击者可以进行端口扫描和提取服务横幅）。

受影响的版本

  • Ruby 2.6 系列：2.6.7 及更早版本
  • Ruby 2.7 系列：2.7.3 及更早版本
  • Ruby 3.0 系列：3.0.1 及更早版本

致谢

感谢 Alexandr Savca 报告此问题。

历史

  • 最初发布于 2021-07-07 09:00:00 UTC

近期新闻

Ruby 4.0.0 发布

我们很高兴地宣布 Ruby 4.0.0 的发布。Ruby 4.0 引入了“Ruby Box”和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 25 日

Ruby 文档的全新外观

继 ruby-lang.org 重新设计之后，我们还有更多好消息来庆祝 Ruby 成立 30 周年：docs.ruby-lang.org 采用了 Aliki——RDoc 的新默认主题，焕然一新。

由 Stan Lo 发布于 2025 年 12 月 23 日

重新设计我们的网站标识

我们很高兴地宣布对我们的网站进行全面重新设计。此次更新的设计由 Akatsuka Taeko 创作。

由 Hiroshi SHIBATA 发布于 2025 年 12 月 22 日

Ruby 4.0.0 preview3 发布

我们很高兴地宣布 Ruby 4.0.0-preview3 的发布。Ruby 4.0 引入了 Ruby::Box 和“ZJIT”，并增加了许多改进。

由 naruse 发布于 2025 年 12 月 18 日

更多新闻...