RubyGems 'ruby_parser' 不安全临时文件创建漏洞(CVE-2013-0162)

2013-02-2800:00:00

Root

www.seebug.org

0.0004 Low

EPSS

Percentile

5.7%

JSON

Bugtraq ID:58110
CVE ID: CVE-2013-0162

RubyGems(简称 gems)是一个用于对Rails组件进行打包的Ruby打包系统。

ruby_parser ruby gem没有以安全的方式创建临时文件，/usr/share/gems/gems/ruby_parser-2.0.4/lib/gauntlet_rubyparser.rb的diff_pp函数创建的/tmp/a.[pid]和/tmp/b.[pid]临时文件可被猜测，通过符号链接攻击可覆盖系统文件或更改目标系统文件内容，造成拒绝服务或可提升权限。
0
RubyGems
厂商解决方案

用户可参考如下厂商提供的安全公告获得补丁信息：
https://bugzilla.redhat.com/show_bug.cgi?id=892806