Translate ru news 2024

ru/news/_posts/2023-03-28-redos-in-uri-cve-2023-28755.md

@@ -0,0 +1,46 @@
+---
+layout: news_post
+title: "CVE-2023-28755: Уязвимость ReDoS в URI"
+author: "hsbt"
+translator: "ablzh"
+date: 2023-03-28 01:00:00 +0000
+tags: security
+lang: ru
+---
+
+Мы выпустили версии 0.12.1, 0.11.1, 0.10.2 и 0.10.0.1 гема uri с исправлением уязвимости отказа в обслуживании через регулярные выражения (ReDoS).
+Этой уязвимости присвоен CVE идентификатор [CVE-2023-28755](https://www.cve.org/CVERecord?id=CVE-2023-28755).
+
+## Подробности
+
+В компоненте URI обнаружена уязвимость ReDoS. Парсер URI некорректно обрабатывает недопустимые URL с определёнными символами. Это увеличивает время парсинга строк в объекты URI.
+
+Этой уязвимости подвержены версии 0.12.0, 0.11.0, 0.10.1, 0.10.0 гема `uri` и все версии до 0.10.0.
+
+## Рекомендуемые действия
+
+Мы рекомендуем обновить гем `uri` до 0.12.1. Для совместимости с версией, поставляемой со старыми ветками Ruby, вместо этого можно обновиться следующим образом:
+
+* Для пользователей Ruby 2.7: обновите до `uri` 0.10.0.1
+* Для пользователей Ruby 3.0: обновите до `uri` 0.10.2
+* Для пользователей Ruby 3.1: обновите до `uri` 0.11.1
+* Для пользователей Ruby 3.2: обновите до `uri` 0.12.1
+
+Для обновления можно использовать `gem update uri`. Если вы используете bundler, добавьте `gem "uri", ">= 0.12.1"` (или другую версию, указанную выше) в ваш `Gemfile`.
+
+## Уязвимые версии
+
+* Гем uri 0.12.0
+* Гем uri 0.11.0
+* Гем uri 0.10.1
+* Гем uri 0.10.0 и более ранние версии
+
+## Благодарности
+
+Благодарим [Dominic Couture](https://hackerone.com/dee-see?type=user) за обнаружение этой проблемы.
+
+## История
+
+* Изначально опубликовано 2023-03-28 01:00:00 (UTC)
+* Обновлён список уязвимых версий 2023-03-28 02:00:00 (UTC)
+* Обновлена ссылка на CVE идентификатор 2023-03-28 04:00:00 (UTC)

ru/news/_posts/2023-06-29-redos-in-uri-CVE-2023-36617.md

@@ -0,0 +1,45 @@
+---
+layout: news_post
+title: "CVE-2023-36617: Уязвимость ReDoS в URI"
+author: "hsbt"
+translator: "ablzh"
+date: 2023-06-29 01:00:00 +0000
+tags: security
+lang: ru
+---
+
+Мы выпустили версии 0.12.2 и 0.10.3 гема uri с исправлением уязвимости отказа в обслуживании через регулярные выражения (ReDoS).
+Этой уязвимости присвоен CVE идентификатор [CVE-2023-36617](https://www.cve.org/CVERecord?id=CVE-2023-36617).
+
+## Подробности
+
+В компоненте URI для Ruby до версии 0.12.1 включительно обнаружена уязвимость ReDoS. Парсер URI некорректно обрабатывает недопустимые URL с определёнными символами. Это увеличивает время парсинга строк в объекты URI с помощью rfc2396_parser.rb и rfc3986_parser.rb.
+
+ПРИМЕЧАНИЕ: эта проблема возникла из-за неполного исправления [CVE-2023-28755](https://www.ruby-lang.org/ru/news/2023/03/28/redos-in-uri-cve-2023-28755/).
+
+Гем `uri` версии 0.12.1 и все версии до 0.12.1 подвержены этой уязвимости.
+
+## Рекомендуемые действия
+
+Мы рекомендуем обновить гем `uri` до 0.12.2. Для совместимости с версией, поставляемой со старыми ветками Ruby, вместо этого можно обновиться следующим образом:
+
+* Для пользователей Ruby 3.0: обновите до `uri` 0.10.3
+* Для пользователей Ruby 3.1: обновите до `uri` 0.12.2
+* Для пользователей Ruby 3.2: обновите до `uri` 0.12.2, либо обновите Ruby до 3.2.3
+
+Для обновления можно использовать `gem update uri`. Если вы используете bundler, добавьте `gem "uri", ">= 0.12.2"` (или другую версию, указанную выше) в ваш `Gemfile`.
+
+## Уязвимые версии
+
+* Гем uri 0.12.1 и более ранние версии
+
+## Благодарности
+
+Благодарим [ooooooo_q](https://hackerone.com/ooooooo_q) за обнаружение этой проблемы.
+
+Благодарим [nobu](https://github.com/nobu) за исправление этой проблемы.
+
+## История
+
+* Добавлены новые рекомендуемые действия для Ruby 3.2 2024-01-18 12:00:00 (UTC)
+* Изначально опубликовано 2023-06-29 01:00:00 (UTC)

ru/news/_posts/2024-01-18-ruby-3-2-3-released.md

@@ -0,0 +1,48 @@
+---
+layout: news_post
+title: "Вышел Ruby 3.2.3"
+author: "nagachika"
+translator: "ablzh"
+date: 2024-01-18 09:00:00 +0000
+lang: ru
+---
+
+Вышел Ruby 3.2.3.
+
+В этот релиз вошли многочисленные исправления ошибок.
+Подробности можно найти в [заметках о релизе на GitHub](https://github.com/ruby/ruby/releases/tag/v3_2_3).
+
+В этот релиз также вошло обновление гема uri до версии 0.12.2, содержащее исправление уязвимости.
+Подробности приведены ниже.
+
+* [CVE-2023-36617: Уязвимость ReDoS в URI]({%link ru/news/_posts/2023-06-29-redos-in-uri-CVE-2023-36617.md %})
+
+## Скачать
+
+{% assign release = site.data.releases | where: "version", "3.2.3" | first %}
+
+* <{{ release.url.gz }}>
+
+      SIZE: {{ release.size.gz }}
+      SHA1: {{ release.sha1.gz }}
+      SHA256: {{ release.sha256.gz }}
+      SHA512: {{ release.sha512.gz }}
+
+* <{{ release.url.xz }}>
+
+      SIZE: {{ release.size.xz }}
+      SHA1: {{ release.sha1.xz }}
+      SHA256: {{ release.sha256.xz }}
+      SHA512: {{ release.sha512.xz }}
+
+* <{{ release.url.zip }}>
+
+      SIZE: {{ release.size.zip }}
+      SHA1: {{ release.sha1.zip }}
+      SHA256: {{ release.sha256.zip }}
+      SHA512: {{ release.sha512.zip }}
+
+## Комментарий к релизу
+
+Многие коммиттеры, разработчики и пользователи, присылавшие отчёты об ошибках, помогли нам подготовить этот релиз.
+Спасибо за их вклад.

ru/news/_posts/2024-03-21-buffer-overread-cve-2024-27280.md

@@ -0,0 +1,46 @@
+---
+layout: news_post
+title: "CVE-2024-27280: Уязвимость чтения за границами буфера (buffer overread) в StringIO"
+author: "hsbt"
+translator: "ablzh"
+date: 2024-03-21 4:00:00 +0000
+tags: security
+lang: ru
+---
+
+Мы выпустили версии 3.0.1.1 и 3.0.1.2 гема StringIO с исправлением уязвимости чтения за границами буфера (buffer overread).
+Этой уязвимости присвоен CVE идентификатор [CVE-2024-27280](https://www.cve.org/CVERecord?id=CVE-2024-27280).
+
+## Подробности
+
+Проблема обнаружена в StringIO 3.0.1, поставляемом с Ruby 3.0.x до 3.0.6 включительно и 3.1.x до 3.1.4 включительно.
+
+Методы `ungetbyte` и `ungetc` объекта StringIO могут читать за пределами строки, а последующий вызов `StringIO.gets` — возвращать содержимое памяти.
+
+Эта уязвимость не затрагивает StringIO 3.0.3 и новее, а также Ruby 3.2.x и новее.
+
+## Рекомендуемые действия
+
+Мы рекомендуем обновить гем StringIO до версии 3.0.3 или новее. Для совместимости с версией, поставляемой со старыми ветками Ruby, вместо этого можно обновиться следующим образом:
+
+* Для пользователей Ruby 3.0: обновите до `stringio` 3.0.1.1
+* Для пользователей Ruby 3.1: обновите до `stringio` 3.0.1.2
+
+Примечание: StringIO 3.0.1.2 содержит не только исправление этой уязвимости, но и исправление ошибки [[Bug #19389]](https://github.com/ruby/ruby/commit/1d24a931c458c93463da1d5885f33edef3677cc2).
+
+Для обновления можно использовать `gem update stringio`. Если вы используете bundler, добавьте `gem "stringio", ">= 3.0.1.2"` в ваш `Gemfile`.
+
+## Уязвимые версии
+
+* Ruby 3.0.6 и более ранние версии
+* Ruby 3.1.4 и более ранние версии
+* Гем StringIO 3.0.1 и более ранние версии
+
+## Благодарности
+
+Благодарим [david_h1](https://hackerone.com/david_h1?type=user) за обнаружение этой проблемы.
+
+## История
+
+* Исправлена указанная уязвимая версия StringIO (3.0.2 -> 3.0.1) 2024-04-11 12:50:00 (UTC)
+* Изначально опубликовано 2024-03-21 4:00:00 (UTC)

ru/news/_posts/2024-03-21-rce-rdoc-cve-2024-27281.md

@@ -0,0 +1,48 @@
+---
+layout: news_post
+title: "CVE-2024-27281: Уязвимость удалённого выполнения кода (RCE) через .rdoc_options в RDoc"
+author: "hsbt"
+translator: "ablzh"
+date: 2024-03-21 4:00:00 +0000
+tags: security
+lang: ru
+---
+
+Мы выпустили версии 6.3.4.1, 6.4.1.1, 6.5.1.1 и 6.6.3.1 гема RDoc с исправлением уязвимости удалённого выполнения кода (RCE).
+Этой уязвимости присвоен CVE идентификатор [CVE-2024-27281](https://www.cve.org/CVERecord?id=CVE-2024-27281).
+
+## Подробности
+
+Проблема обнаружена в RDoc с версии 6.3.3 по 6.6.2, поставляемом с Ruby 3.x до 3.3.0 включительно.
+
+При парсинге файла конфигурации RDoc `.rdoc_options` в формате YAML возможно внедрение объектов (object injection) с последующим удалённым выполнением кода, поскольку классы восстанавливаемых объектов не ограничены.
+
+При загрузке специально подготовленного кэша документации также возможно внедрение объектов (object injection) с последующим удалённым выполнением кода.
+
+## Рекомендуемые действия
+
+Мы рекомендуем обновить гем RDoc до версии 6.6.3.1 или новее. Для совместимости с версией, поставляемой со старыми ветками Ruby, вместо этого можно обновиться следующим образом:
+
+* Для пользователей Ruby 3.0: обновите до `rdoc` 6.3.4.1
+* Для пользователей Ruby 3.1: обновите до `rdoc` 6.4.1.1
+* Для пользователей Ruby 3.2: обновите до `rdoc` 6.5.1.1
+
+Для обновления можно использовать `gem update rdoc`. Если вы используете bundler, добавьте `gem "rdoc", ">= 6.6.3.1"` в ваш `Gemfile`.
+
+Примечание: версии 6.3.4, 6.4.1, 6.5.1 и 6.6.3 содержат некорректное исправление. Вместо них рекомендуем обновиться до 6.3.4.1, 6.4.1.1, 6.5.1.1 и 6.6.3.1.
+
+## Уязвимые версии
+
+* Ruby 3.0.6 и более ранние версии
+* Ruby 3.1.4 и более ранние версии
+* Ruby 3.2.3 и более ранние версии
+* Ruby 3.3.0
+* Гем RDoc 6.3.3 и более ранние версии, с 6.4.0 по 6.6.2, кроме версий с исправлениями (6.3.4, 6.4.1, 6.5.1)
+
+## Благодарности
+
+Благодарим [ooooooo_q](https://hackerone.com/ooooooo_q?type=user) за обнаружение этой проблемы.
+
+## История
+
+* Изначально опубликовано 2024-03-21 4:00:00 (UTC)

ru/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md

@@ -0,0 +1,42 @@
+---
+layout: news_post
+title: "CVE-2024-27282: Уязвимость чтения по произвольному адресу памяти при поиске регулярными выражениями"
+author: "hsbt"
+translator: "ablzh"
+date: 2024-04-23 10:00:00 +0000
+tags: security
+lang: ru
+---
+
+Мы выпустили Ruby 3.0.7, 3.1.5, 3.2.4 и 3.3.1 с исправлением уязвимости чтения по произвольному адресу памяти при поиске регулярными выражениями.
+Этой уязвимости присвоен CVE идентификатор [CVE-2024-27282](https://www.cve.org/CVERecord?id=CVE-2024-27282).
+
+## Подробности
+
+Проблема обнаружена в Ruby 3.x до версии 3.3.0 включительно.
+
+Если передать компилятору регулярных выражений Ruby данные злоумышленника, можно извлечь произвольные данные из кучи относительно начала текста, включая указатели и конфиденциальные строки.
+
+## Рекомендуемые действия
+
+Мы рекомендуем обновить Ruby до версии 3.3.1 или новее. Для совместимости со старыми ветками Ruby вместо этого можно обновиться следующим образом:
+
+* Для пользователей Ruby 3.0: обновите до 3.0.7
+* Для пользователей Ruby 3.1: обновите до 3.1.5
+* Для пользователей Ruby 3.2: обновите до 3.2.4
+* Для пользователей Ruby 3.3: обновите до 3.3.1
+
+## Уязвимые версии
+
+* Ruby 3.0.6 и более ранние версии
+* Ruby 3.1.4 и более ранние версии
+* Ruby 3.2.3 и более ранние версии
+* Ruby 3.3.0
+
+## Благодарности
+
+Благодарим [sp2ip](https://hackerone.com/sp2ip?type=user) за обнаружение этой проблемы.
+
+## История
+
+* Изначально опубликовано 2024-04-23 10:00:00 (UTC)

ru/news/_posts/2024-04-23-ruby-3-0-7-released.md

@@ -0,0 +1,53 @@
+---
+layout: news_post
+title: "Вышел Ruby 3.0.7"
+author: "hsbt"
+translator: "ablzh"
+date: 2024-04-23 10:00:00 +0000
+lang: ru
+---
+
+Вышел Ruby 3.0.7.
+
+В этот релиз вошли исправления уязвимостей.
+Подробности приведены ниже.
+
+* [CVE-2024-27282: Уязвимость чтения по произвольному адресу памяти при поиске регулярными выражениями]({%link ru/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md %})
+* [CVE-2024-27281: Уязвимость удалённого выполнения кода (RCE) через .rdoc_options в RDoc]({%link ru/news/_posts/2024-03-21-rce-rdoc-cve-2024-27281.md %})
+* [CVE-2024-27280: Уязвимость чтения за границами буфера (buffer overread) в StringIO]({%link ru/news/_posts/2024-03-21-buffer-overread-cve-2024-27280.md %})
+
+Подробности можно найти в [заметках о релизе на GitHub](https://github.com/ruby/ruby/releases/tag/v3_0_7).
+
+После этого релиза поддержка Ruby 3.0 завершается (EOL). Иными словами, ожидается, что это последний релиз ветки Ruby 3.0.
+Мы не будем выпускать Ruby 3.0.8 даже при обнаружении уязвимости, но можем выпустить его в случае серьёзной регрессии.
+Мы рекомендуем всем пользователям Ruby 3.0 немедленно начать переход на Ruby 3.3, 3.2 или 3.1.
+
+## Скачать
+
+{% assign release = site.data.releases | where: "version", "3.0.7" | first %}
+
+* <{{ release.url.gz }}>
+
+      SIZE: {{ release.size.gz }}
+      SHA1: {{ release.sha1.gz }}
+      SHA256: {{ release.sha256.gz }}
+      SHA512: {{ release.sha512.gz }}
+
+* <{{ release.url.xz }}>
+
+      SIZE: {{ release.size.xz }}
+      SHA1: {{ release.sha1.xz }}
+      SHA256: {{ release.sha256.xz }}
+      SHA512: {{ release.sha512.xz }}
+
+* <{{ release.url.zip }}>
+
+      SIZE: {{ release.size.zip }}
+      SHA1: {{ release.sha1.zip }}
+      SHA256: {{ release.sha256.zip }}
+      SHA512: {{ release.sha512.zip }}
+
+## Комментарий к релизу
+
+Многие коммиттеры, разработчики и пользователи, присылавшие отчёты об ошибках, помогли нам подготовить этот релиз.
+Спасибо за их вклад.

ru/news/_posts/2024-04-23-ruby-3-1-5-released.md

@@ -0,0 +1,49 @@
+---
+layout: news_post
+title: "Вышел Ruby 3.1.5"
+author: "hsbt"
+translator: "ablzh"
+date: 2024-04-23 10:00:00 +0000
+lang: ru
+---
+
+Вышел Ruby 3.1.5.
+
+В этот релиз вошли исправления уязвимостей.
+Подробности приведены ниже.
+
+* [CVE-2024-27282: Уязвимость чтения по произвольному адресу памяти при поиске регулярными выражениями]({%link ru/news/_posts/2024-04-23-arbitrary-memory-address-read-regexp-cve-2024-27282.md %})
+* [CVE-2024-27281: Уязвимость удалённого выполнения кода (RCE) через .rdoc_options в RDoc]({%link ru/news/_posts/2024-03-21-rce-rdoc-cve-2024-27281.md %})
+* [CVE-2024-27280: Уязвимость чтения за границами буфера (buffer overread) в StringIO]({%link ru/news/_posts/2024-03-21-buffer-overread-cve-2024-27280.md %})
+
+Подробности можно найти в [заметках о релизе на GitHub](https://github.com/ruby/ruby/releases/tag/v3_1_5).
+
+## Скачать
+
+{% assign release = site.data.releases | where: "version", "3.1.5" | first %}
+
+* <{{ release.url.gz }}>
+
+      SIZE: {{ release.size.gz }}
+      SHA1: {{ release.sha1.gz }}
+      SHA256: {{ release.sha256.gz }}
+      SHA512: {{ release.sha512.gz }}
+
+* <{{ release.url.xz }}>
+
+      SIZE: {{ release.size.xz }}
+      SHA1: {{ release.sha1.xz }}
+      SHA256: {{ release.sha256.xz }}
+      SHA512: {{ release.sha512.xz }}
+
+* <{{ release.url.zip }}>
+
+      SIZE: {{ release.size.zip }}
+      SHA1: {{ release.sha1.zip }}
+      SHA256: {{ release.sha256.zip }}
+      SHA512: {{ release.sha512.zip }}
+
+## Комментарий к релизу
+
+Многие коммиттеры, разработчики и пользователи, присылавшие отчёты об ошибках, помогли нам подготовить этот релиз.
+Спасибо за их вклад.