on
บั๊กใน Roby on Rails ที่ใช้โมดูล XML parameter เพื่อรับค่าพารามิเตอร์ในการโพสแบบ XML กำลังทำให้เว็บไซต์ที่รัน Ruby on Rails แทบทั้งหมดเจอปัญหา remote code execution หรือการรันโค้ดที่รับมาจากผู้ใช้
ปัญหาเกิดจากโมดูลสำหรับ parse XML นั้นรองรับค่าชนิด symbol และ yaml โดยโครงสร้างความปลอดภัยของภาษา Ruby นั้นไม่ควรให้ค่า symbol ถูกส่งมาจากภายนอกได้ รวมถึงค่าของ yaml นั้นสามารถใช้รันโค้ดบางส่วนได้โดยโครงสร้างของมันเอง จึงไม่ควรนำมาใช้รับค่าจากผู้ใช้ภายนอก
เว็บไซต์ที่ใช้ Ruby on Rails ทั้งหมด (มากกว่า 240,000 เว็บไซต์ทั่วโลก) ควรแพตซ์โค้ดที่ใช้งานอยู่เพื่อยกเลิกการรับค่าแบบ XML ออกไป หรือไม่เช่นนั้นอาจจะอัพเกรดโค้ดไปยังเวอร์ชั่นล่าสุด
ที่มา - Ruby on Rails - Security, ArsTechnica
ทาง Core team
Sikachu Wed, 09/01/2013 - 11:26
ทาง Core team แนะนำให้อัพเกรดไปยัง patch version ล่าสุด หรือถ้าอัพเกรดไม่ได้ก็ปิดการรับ XML parameters ครับ
แต่เอาเข้าจริง ... อัพเกรดเถอะครับ พี่แกเล่นออก patch ให้ทุก minor version เลย
เป็นอีกภาษาหนึ่งที่ทำให้ผมงงก
nextman13 Wed, 09/01/2013 - 14:18
เป็นอีกภาษาหนึ่งที่ทำให้ผมงงกับชีวิตมาก เพราะงงๆ กับ syntax เคยแต่ภาษาแนว c,java,php
ตอนแรกๆ ผมก็รู้สึกแบบนั้นครับ
WattZ Wed, 09/01/2013 - 21:19
In reply to เป็นอีกภาษาหนึ่งที่ทำให้ผมงงก by nextman13
ตอนแรกๆ ผมก็รู้สึกแบบนั้นครับ พอได้เขียนนานเข้าเริ่มติดใจล่ะ แบบว่าเขียนภาษานี้แล้วสนุกมาก
ไม่ได้เขียนนาน จนมันไป 3.2
codingz Wed, 09/01/2013 - 17:51
ไม่ได้เขียนนาน จนมันไป 3.2 ซ่ะแล้ว