Rackのセキュリティ修正2.2.3.1、2.1.4.1、2.0.9.1がリリースされました。2件の脆弱性が修正されています。
Happy Friday! I shipped a new version of Rack, please check it out. It has fixes for a security issue. You can see the issues here: https://t.co/p2ISQ7Byhihttps://t.co/HAGJIAuoYc
— Aaron Patterson (@tenderlove) May 27, 2022
- GitHub Advisory
- Discussions
- Google Groups
詳しくは上記の情報をご覧ください（GitHub Advisory・Discussions・Google Groupsの内容は基本的に同じです）。
なお、cve.mitre.orgのCVE-2022-30122およびCVE-2022-30123エントリは現時点で"RESERVED"状態となっており、詳しい情報は含まれていません。
以下は2件の脆弱性が修正されたバージョンのタグとコミット差分です。
🔗 修正の概要
Rackで以下の2件の脆弱性が修正されました。
[CVE-2022-30122] Denial of Service Vulnerability in Rack Multipart Parsing
巧妙に細工されたマルチパートのPOSTリクエストによって、RackでDoSが発生する可能性があります。
- Moderate severity
- 影響を受けるRackバージョン: 1.2以上
- 影響を受けないRackバージョン: 1.2未満
- 修正されたRackバージョン: 2.2.3.1、2.1.4.1、2.0.9.1
- 対応方法: ただちに当該Rackを修正済みバージョンにアップグレードする
- 回避方法: 実行可能な回避方法はない
- パッチ:
[CVE-2022-30123] Possible shell escape sequence injection vulnerability in Rack
巧妙に細工されたリクエストによって、シェルエスケープシーケンスをRackのLintミドルウェアやCommonLogger経由でターミナルに書き込まれる可能性があります（潜在的にこれらのシェルエスケープシーケンスは、標的のターミナルでコマンド実行に利用される可能性があります）。RackのLintミドルウェアやCommonLoggerミドルウェアを利用しているアプリは、この脆弱性の影響を受ける可能性があります。
- High severity
- 影響を受ける従来のRackバージョン: すべてのバージョン
- 影響を受けない従来のRackバージョン: なし
- 修正されたRackバージョン: 2.2.3.1、2.1.4.1、2.0.9.1
- 対応方法: ただちにRackを修正済みバージョンにアップグレードする。または以下の回避方法かパッチを適用する
- 回避方法:
Rack::LintおよびRack::CommonLoggerミドルウェアをアプリから削除する - パッチ