Ruby: rdoc gemとstringio gemのセキュリティ修正がリリースされました

rdoc gemとstringio gemのセキュリティ修正がリリースされました。

We disclosed two CVEs for the default gems today.

* https://t.co/do5D0xqdch
* https://t.co/NLcUmoRgrY

We recommend upgrading them for keep your code as safety.

— Ruby Programming Language (@rubylangorg) March 21, 2024

rdoc gemの修正

• リリースノート: CVE-2024-27281: RCE vulnerability with .rdoc_options in RDoc

詳しくは上記リリース情報をご覧ください。

rdocはdefault gemに分類されます（参考: standard librariesとdefault gemsとbundled gemsの違い - ESM アジャイル事業部 開発者ブログ）。

影響を受けるRubyバージョンとgemバージョン

• Ruby 3.0.6以下
• Ruby 3.1.4以下
• Ruby 3.2.3以下
• Ruby 3.3.0
• rdoc gem
  • 6.3.3以下
  • 6.4.0〜6.6.2（うち6.3.4、6.4.1、6.5.1パッチバージョンを除く）

修正されたgemバージョン

以下の修正版をインストールすることが推奨されます。

• rdoc 6.6.3.1（最新）
  • 差分: Comparing v6.6.2...v6.6.3.1 · ruby/rdoc

修正方法

gem update rdocで最新のrdoc gemをインストールします。
bundlerを使っている場合は、Gemfileにgem "rdoc", ">= 6.6.3.1"を追加してbundle installを実行します。

古いRubyでbundled gemと互換性を維持したい場合は、以下のバージョンをインストールできます。

• Ruby 3.2用: rdoc 6.5.1.1
  • 差分: Comparing v6.5.0...v6.5.1.1 · ruby/rdoc
• Ruby 3.1用: rdoc 6.4.1.1
  • 差分: Comparing v6.4.0...v6.4.1.1 · ruby/rdoc
• Ruby 3.0用: rdoc 6.3.4.1
  • 差分: Comparing v6.3.3...v6.3.4.1 · ruby/rdoc

stringio gemの修正

• リリースノート: CVE-2024-27280: Buffer overread vulnerability in StringIO

詳しくは上記リリース情報をご覧ください。

stringioはdefault gemに分類されます（参考: standard librariesとdefault gemsとbundled gemsの違い - ESM アジャイル事業部 開発者ブログ）。

影響を受けるRubyバージョンとgemバージョン

• Ruby 3.0.6以下
• Ruby 3.1.4以下
• stringio gem 3.0.2以下

修正されたgemバージョン

stringioを3.0.3以上にアップグレードすることが推奨されます。現時点では以下のstringio 3.0.1.2が最新です。

• Release v3.0.1.2 · ruby/stringio
  • 差分: Comparing v3.0.2...v3.0.1.2 · ruby/stringio

修正方法

gem update stringioで最新のstringio gemに更新します。
bundlerを使っている場合は、Gemfileにgem "stringio", ">= 3.0.1.2"を追加してbundle installを実行します。

古いRubyでbundled gemと互換性を維持したい場合は、以下のバージョンをインストールできます。

• Ruby 3.1用: stringio 3.0.1.2
  • 差分: Comparing v3.0.2...v3.0.1.2 · ruby/stringio
• Ruby 3.0用: stringio 3.0.1.1
  • 差分: Comparing v3.0.2...v3.0.1.1 · ruby/stringio

関連記事

time gemのセキュリティ修正がリリースされました

uri gemのセキュリティ修正がリリースされました

The post Ruby: rdoc gemとstringio gemのセキュリティ修正がリリースされました first appeared on TechRacho.