发布日期：2017-12-19
更新日期：2017-12-19

受影响系统：

Ruby Ruby < 2.4.3

描述：

---

BUGTRAQ  ID: 102204
CVE(CAN) ID: CVE-2017-17405

Ruby一种为简单快捷的面向对象编程（面向对象程序设计）而创的脚本语言。

Ruby 2.4.3之前版本在实现上存在Net::FTP命令注入漏洞，Net::FTP#get, getbinaryfile, gettextfile, put, putbinaryfile, puttextfile使用Kernel#open打开本地文件。若localfile参数以"|" 字符开始，则该字符后的命令会随之执行。localfile默认值是File.basename(remotefile)，所以恶意的FTP服务器会造成任意命令执行。

<*来源：Etienne Stalmans
  *>

建议：

---

厂商补丁：

Ruby
----
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://bugzilla.redhat.com/show_bug.cgi?id=1526189
https://access.redhat.com/security/cve/CVE-2017-17405
https://www.ruby-lang.org/en/news/2017/12/14/net-ftp-command-injection-cve-2017-17405/
https://www.ruby-lang.org/en/news/2017/12/14/ruby-2-2-9-released/
https://www.ruby-lang.org/en/news/2017/12/14/ruby-2-3-6-released/
https://www.ruby-lang.org/en/news/2017/12/14/ruby-2-4-3-released/
https://www.ruby-lang.org

浏览次数：1922
严重程度：0（网友投票）