Ruby 2.5.2/2.4.5/2.3.8がリリース - セキュリティと不具合修正版

Ruby開発チームは10月17日、プログラミング言語Rubyの各系列の最新版Ruby 2.5.2、Ruby 2.4.5、Ruby 2.3.8をリリースしました。現在公式サイトより各バージョンのソースコードをダウンロードすることができます。

今回公開された各バージョンはそれぞれ不具合やセキュリティ問題の修正が行われたマイナーバージョンアップ版となっています。

Ruby 2.5.2

Ruby 2.5.2には以下の脆弱性の修正が含まれています。

• CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性について
• CVE-2018-16395: OpenSSL::X509::Name の同一性判定が機能していない脆弱性について

その他の不具合の修正はコミットログから確認可能です。

Ruby 2.4.5

Ruby 2.4.5では前回リリースから40件ほどのバグ修正が行われ、安定性の向上が図られるとともに、以下のセキュリティ問題が修正されています。

• CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性についてへの対応
• CVE-2018-16395: OpenSSL::X509::Name の同一性判定が機能していない脆弱性についてへの対応

Ruby 2.3.8

Ruby 2.3.8でも以下の脆弱性の修正が行われています。

• CVE-2018-16396: Array#pack および String#unpack の一部のフォーマット指定においてtaintフラグが伝播しない脆弱性についてへの対応
• CVE-2018-16395: OpenSSL::X509::Name の同一性判定が機能していない脆弱性についてへの対応

またVisual Studio 2015とWindows10 October 2018 Updateとの組み合わせでRubyが動作しなくなる問題への対応が行われています。

なおRuby 2.3 系列は、現在セキュリティメンテナンスフェーズで、フェーズ中は、重大なセキュリティ上の問題への対応のみが行われ、2019年3月末頃をめどにサポートが終了すると案内が掲載されています。