8/27発表のRubyGems脆弱性と修正方法のまとめ|TechRacho(テックラッチョ)〜エンジニアの「?」を「!」に〜|BPS株式会社エンジニアの「?」を「!」に。8/27発表のRubyGems脆弱性と修正方法のまとめhachi8833シェアツイートブックマークLINEこんにちは、hachi8833です。先週はRailsウォッチをお休みしてしまったことをお詫びいたします。表題のニュースは先週のものですが、それなりに重要性が高いため改めて記事にいたしました。gemspecファイルからの入力もユーザー入力である以上サニタイズが必要なんですね。公式ブログでRubyGemsの2.6.13がリリースされました。gemで見つかった複数の脆弱性が修正されています。2.4系のうち、2.4.1以前のバージョンtrunkのリビジョンが59672より前のバージョン公式ブログ公開時点(2017/08/29)では、修正済みRubyGemsを含むRubyはリリースされていません。その代わり、RubyGemsのバージョンを単独で2.6.13以降にアップデートすることで問題を回避できます。gemをアップデートできます。--system事情があってRubyGemsをアップデートできない場合、Rubyのバージョンに応じて以下のパッチを適用できます。以下の2つのパッチを上から順に適用する必要があります。rbenvやRVMなどのバージョン管理ソフトウェアで複数のRubyを使っている場合、念のため、修正可能なすべてのバージョンで上のコマンドを実行しておくのがよいでしょう。nspawnなどのコンテナでRubyを使っている場合はそちらもチェックし、必要であればアップデートします。2.4.1についてホスト側で対応済みなので、ユーザーはローカルの環境について対応すればよいことになります。2.3.4)が使われると記載されています。アプリがデフォルトのRubyバージョンに依存しないよう、アプリのGemfileには以下のようにRubyバージョンを明示的に記載することが強く推奨されています。'bcrypt'...なお、以下のバージョンについてのChangelogはありますが、RubyGemsのバージョンは2.6.13にはなっておらず、パッチが適用済みかどうかについては確認できませんでした。コボラー、ITコンサル、ローカライズ業界、Rails開発を経てTechRachoの編集・記事作成を担当。チュートリアル第2版の監修および半分程度を翻訳、Railsガイドの初期翻訳ではほぼすべてを翻訳。その後も折に触れて更新翻訳中。enno.jpを運営。実は最近Go言語が好きで、Goで書かれたRubyライクなGoby言語のメンテナーでもある。仕事に関係ないすっとこブログ「あけてくれ」は2000年頃から多少の中断をはさんで継続、現在はnote.muに移転。Storageを使ってはいけない(翻訳)#Tags#会社紹介#自社サービス#勉強会#Rails#PHP#デザイン#実績#週刊RailsウオッチCONTACTお気軽にご相談ください。(翻訳)CONTACTTechRachoでは、パートナーシップをご検討いただける方からのご連絡をお待ちしております。お気軽にご意見・ご相談ください。