Railsセキュリティ修正7.0.4.1、6.1.7.1、6.0.6.1がリリースされました

Ruby on Rails セキュリティ修正7.0.4.1、6.1.7.1、6.0.6.1がリリースされました。
それとは別にRackとGitでもセキュリティ修正がリリースされていますので、参考までに後述します。

Rails Versions 7.0.4.1, 6.1.7.1, and 6.0.6.1 have been released to address some security vulnerabilities. https://t.co/Z2ifRpuen1

— Ruby on Rails (@rails) January 17, 2023

• リリース情報: Ruby on Rails — Rails Versions 7.0.4.1, 6.1.7.1, and 6.0.6.1 have been released!

Railsのメンテナンスポリシーに基づき、7.0.Zおよび6.1.Zシリーズについてはすべてのセキュリティ修正がリリースされ、6.0.Zシリーズについては”重大なセキュリティ修正のみ“がリリースされています。サポートの終了したRailsバージョンについては、できる限り速やかにアップグレードすることが推奨されています。

英語版Changelogをまとめて見るにはGItHubのリリースタグ↓が便利です。

• Release v7.0.4.1 · rails/rails（日本時間2022/01/18 6:31）
• Release v6.1.7.1 · rails/rails（日本時間2022/01/18 6:30）
• Release v6.0.6.1 · rails/rails（日本時間2022/01/18 6:29）

詳しくは以下のコミットリストをご覧ください。

• Comparing v7.0.4…v7.0.4.1 · rails/rails
• Comparing v6.1.7…v6.1.7.1 · rails/rails
• Comparing v6.0.6…v6.0.6.1 · rails/rails

また、以下で直近のセキュリティ関連トピックを一覧できます。

参考: Latest security topics – Ruby on Rails Discussions

セキュリティ修正の概要

以下の6件の脆弱性が修正されました。それぞれに7.0.4.1の当該修正コミットへのリンクも貼ってあります。
なお、どの修正についてもリリースの他にパッチも公開されています。詳しくはリンク先の情報を参照してください。

1. [CVE-2023-22797] Possible Open Redirect Vulnerability in Action Pack – Security Announcements – Ruby on Rails Discussions

影響を受けるRailsバージョン

Rails 7.0.0以降

影響を受けないRailsバージョン

Rails 7.0.0未満

修正済みバージョン

7.0.4.1

• 7.0.4.1の修正コミット: Fix sec issue with _url_host_allowed? · rails/rails@e50e26d

2. [CVE-2022-44566] Possible Denial of Service Vulnerability in ActiveRecord’s PostgreSQL adapter – Security Announcements – Ruby on Rails Discussions

影響を受けるRailsバージョン

すべてのバージョン

影響を受けないRailsバージョン

なし

修正済みバージョン

7.0.4.1、6.1.7.1

• 7.0.4.1の修正コミット: Added integer width check to PostgreSQL::Quoting · rails/rails@82bcdc0

3. [CVE-2023-22795] Possible ReDoS based DoS vulnerability in Action Dispatch – Security Announcements – Ruby on Rails Discussions

影響を受けるRailsバージョン

すべてのバージョン

影響を受けないRailsバージョン

なし

修正済みバージョン

7.0.4.1、6.1.7.1

• 7.0.4.1の修正コミット: Avoid regex backtracking on If-None-Match header · rails/rails@8d82687

4. [CVE-2023-22794] SQL Injection Vulnerability via ActiveRecord comments – Security Announcements – Ruby on Rails Discussions

Rails 6.0.6.1にはこの脆弱性修正のみが含まれます。

影響を受けるRailsバージョン

Rails 6.0.0以降

影響を受けないRailsバージョン

Rails 6.0.0未満

修正済みバージョン

6.0.6.1、6.1.7.1、7.0.4.1

• 7.0.4.1の修正コミット: Make sanitize_as_sql_comment more strict · rails/rails@d7aba06

5. [CVE-2023-22796] Possible ReDoS based DoS vulnerability in Active Support’s underscore – Security Announcements – Ruby on Rails Discussions

影響を受けるRailsバージョン

すべてのバージョン

影響を受けないRailsバージョン

なし

修正済みバージョン

7.0.4.1、6.1.7.1

• 7.0.4.1の修正コミット: Avoid regex backtracking in Inflector.underscore · rails/rails@2164d4f

6. [CVE-2023-22792] Possible ReDoS based DoS vulnerability in Action Dispatch – Security Announcements – Ruby on Rails Discussions

影響を受けるRailsバージョン

Rails 3.0.0以降

影響を受けないRailsバージョン

Rails 3.0.0未満

修正済みバージョン

6.1.7.1、7.0.4.1

• 7.0.4.1の修正コミット: Use string#split instead of regex for domain parts · rails/rails@cd46b0e

参考: Rackセキュリティ修正v3.0.4.1、v2.2.6.2がリリース

• rack/CHANGELOG.md at v3.0.4.1 · rack/rack
  • Commits · rack/rack
• rack/CHANGELOG.md at v2.2.6.2 · rack/rack
  • Commits · rack/rack

v3.0.4.1、v2.2.6.2では以下の3件の脆弱性が修正されています（リンク先はv3.0.4.1です）。

• [CVE-2022-44571] Fix ReDoS vulnerability in multipart parser
• [CVE-2022-44570] Fix ReDoS in Rack::Utils.get_byte_ranges
• [CVE-2022-44572] Forbid control characters in attributes (also ReDoS)

参考: Gitセキュリティ修正2.39.1がリリース

• Git security vulnerabilities announced | The GitHub Blog

Git 2.39.1では以下の3件の脆弱性が修正されています。

• CVE-2022-41903
• CVE-2022-23521
• CVE-2022-41953

関連記事

Railsセキュリティ修正7.0.3.1、6.1.6.1、6.0.5.1、5.2.8.1がリリースされました

The post Railsセキュリティ修正7.0.4.1、6.1.7.1、6.0.6.1がリリースされました first appeared on TechRacho.