From: Yuumi Yoshida <yuumi3@...>
Date: 2014-04-10T15:05:05+09:00
Subject: [ruby-list:49786] Ubuntu 12.04 LTSでのCVE-2014-2525対応方法

Yuumi3 です。

Ubuntu 12.04 LTS上の Ruby 2.1.1 で Rails4.04  を使ったアプリを運用しています。
Ruby 2.1.1 はソースから ./configure; make; make install  しています。

CVE-2014-2525 ( https://www.ruby-lang.org/ja/news/2014/03/29/heap-overflow-in-yaml-uri-escape-parsing-cve-2014-2525/ )
対応方法ですが

Ubuntu 12.04 LTS では CVE-2014-2525 に対応したアップデート
USN-2160-1 http://www.ubuntu.com/usn/usn-2160-1/ が出ているので、

$ sudo apt-get update
$ sudo apt-get dist-upgrade

で libyaml (libyaml-dev) が対応されます。
この後 Railsを動かしているUnicornを再起動すれば良いのでしょうか？


ただし、この方法でアップデートした場合は libyaml のバージョンは上がらないので

$ ruby -rpsych -e 'p Psych.libyaml_version’ の結果は [0, 1, 4] ですし。

rake 等を実行すると、

SafeYAML Warning
 ----------------
 You appear to have an outdated version of libyaml (0.1.4) installed on your system.

が表示されますが、Ubuntu 12.04 LTS のアップデートが正しく行われていれば
問題無いということで良いのでしょうか？

-- 

♪  吉田 裕美 (Yuumi Yoshida)
♪    Blog      http://d.hatena.ne.jp/yuum3/
♪    HomePage  http://www.ey-office.com/
♪    Twitter   yuumi3

-- 

♪  吉田 裕美 (Yuumi Yoshida)
♪    Blog      http://d.hatena.ne.jp/yuum3/
♪    HomePage  http://www.ey-office.com/
♪    Twitter   yuumi3