Skip to content

Commit 99953dc

Browse files
unakunak
authored
Merge pull request ruby#2025 from ruby/ruby-release-2019-04-01
Ruby release 2019 04 01
2 parents aa7cc74 + 7df3aca commit 99953dc

6 files changed

+183
-3
lines changed

‎_data/downloads.yml

+1-1
Original file line numberDiff line numberDiff line change
@@ -9,7 +9,7 @@ stable:
99

1010
- 2.6.2
1111
- 2.5.5
12-
- 2.4.5
12+
- 2.4.6
1313

1414
# optional
1515
security_maintenance:

‎_data/releases.yml

+14
Original file line numberDiff line numberDiff line change
@@ -249,6 +249,20 @@
249249

250250
# 2.4 series
251251

252+
- version: 2.4.6
253+
date: 2019-04-01
254+
post: /en/news/2019/04/01/ruby-2-4-6-released/
255+
url:
256+
bz2: https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.bz2
257+
gz: https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.gz
258+
xz: https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.xz
259+
zip: https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.zip
260+
sha256:
261+
bz2: 909f360debed1f22fdcfc9f5335c6eaa0713198db4a6c13bab426f8b89b28b02
262+
gz: de0dc8097023716099f7c8a6ffc751511b90de7f5694f401b59f2d071db910be
263+
xz: 25da31b9815bfa9bba9f9b793c055a40a35c43c6adfb1fdbd81a09099f9b529c
264+
zip: c5de9f11d4b7608d57139b96f7bc94899bb2fc9dee2e192c8951f6647a9d60f7
265+
252266
- version: 2.4.5
253267
date: 2018-10-17
254268
post: /en/news/2018/10/17/ruby-2-4-5-released/

‎en/news/_posts/2019-03-05-multiple-vulnerabilities-in-rubygems.md

+5-2
Original file line numberDiff line numberDiff line change
@@ -22,18 +22,20 @@ The following vulnerabilities have been reported.
2222
* CVE-2019-8324: Installing a malicious gem may lead to arbitrary code execution
2323
* CVE-2019-8325: Escape sequence injection vulnerability in errors
2424

25-
It is strongly recommended for Ruby users to take one of the following workarounds as soon as possible.
25+
It is strongly recommended for Ruby users to upgrade your Ruby installation or take one of the following workarounds as soon as possible.
2626

2727
## Affected Versions
2828

29+
* Ruby 2.3 series: all
2930
* Ruby 2.4 series: 2.4.5 and earlier
3031
* Ruby 2.5 series: 2.5.3 and earlier
3132
* Ruby 2.6 series: 2.6.1 and earlier
3233
* prior to trunk revision 67168
3334

3435
## Workarounds
3536

36-
RubyGems 2.7.6.2/2.7.9/3.0.3 or later includes the fix for the vulnerabilities, so upgrade RubyGems to the latest version.
37+
In principle, you should upgrade your Ruby installation to the latest version.
38+
RubyGems 3.0.3 or later includes the fix for the vulnerabilities, so upgrade RubyGems to the latest version if you can’t upgrade Ruby itself.
3739

3840
```
3941
gem update --system
@@ -55,3 +57,4 @@ This report is based on [the official blog of RubyGems](http://blog.rubygems.org
5557

5658
* Originally published at 2019-03-05 00:00:00 UTC
5759
* Link to updated patches at 2019-03-06 05:26:27 UTC
60+
* Mention about upgrading Ruby itself at 2019-04-01 06:00:00 UTC

‎en/news/_posts/2019-04-01-ruby-2-4-6-released.md

+55
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,55 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 2.4.6 Released"
4+
author: "usa"
5+
translator:
6+
date: 2019-04-01 06:00:00 +0000
7+
lang: en
8+
---
9+
10+
Ruby 2.4.6 has been released.
11+
12+
This release includes about 20 bug fixes after the previous release, and also includes several security fixes.
13+
Please check the topics below for details.
14+
15+
* [Multiple vulnerabilities in RubyGems](/en/news/2019/03/05/multiple-vulnerabilities-in-rubygems/)
16+
17+
See the [commit log](https://github.com/ruby/ruby/compare/v2_4_5...v2_4_6) for details.
18+
19+
After this release, we will end the normal maintenance phase of Ruby 2.4,
20+
and start the security maintenance phase of it.
21+
This means that after the release of 2.4.6 we will never backport any bug fixes
22+
to 2.4 except security fixes.
23+
The term of the security maintenance phase is scheduled for 1 year.
24+
By the end of this term, official support of Ruby 2.4 will be over.
25+
Therefore, we recommend that you start planning to upgrade to Ruby 2.6 or 2.5.
26+
27+
## Download
28+
29+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.bz2](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.bz2)
30+
SIZE: 12623913 bytes
31+
SHA1: b44b5c6637a69b3b95971b1937ecb583dc1de568
32+
SHA256: 909f360debed1f22fdcfc9f5335c6eaa0713198db4a6c13bab426f8b89b28b02
33+
SHA512: 292802984e5cff6d526d817bde08216fe801d255c4cede0646e450f22d4a3a81ae612ec5d193dcc2a888e3e98b2531af845b6b863a2952bcf3fb863f95368bcf
34+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.gz](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.gz)
35+
SIZE: 15880585 bytes
36+
SHA1: 3bc2d9ab3381887c57e0fb7937dc14e9f419f06c
37+
SHA256: de0dc8097023716099f7c8a6ffc751511b90de7f5694f401b59f2d071db910be
38+
SHA512: 7eb7720961e98e22e4335c38eeead9db96d049ef3ac1da437769b98fee7a10feb092643ce75822a2fe3bd5fd94938417ab5c2de7c6056afe0abf6e4cf03ca282
39+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.xz](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.xz)
40+
SIZE: 10005544 bytes
41+
SHA1: 86a4fa22cb3547005ec4bfcf77489a4254226187
42+
SHA256: 25da31b9815bfa9bba9f9b793c055a40a35c43c6adfb1fdbd81a09099f9b529c
43+
SHA512: eafb2257747f99e2ed262af142e71175b70f7cceaa4d1253b92c8337f075a9a58a2d93b029d75e11a9b124f112a8f0983273b2b30afc147b5cf71a8dbb5fa0ba
44+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.zip](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.zip)
45+
SIZE: 17469891 bytes
46+
SHA1: 0e55d231c0e119304e077e42923ce6a1c3daa1d1
47+
SHA256: c5de9f11d4b7608d57139b96f7bc94899bb2fc9dee2e192c8951f6647a9d60f7
48+
SHA512: cfa779cdb970dfd35dc2a97951310cb3cde1d380b040c283fda6609c591039817a2847ab7174f7a9ee7f7adbb610709b57914bb26e5c015a20d5fe880c569855
49+
50+
## Release Comment
51+
52+
Sorry for making you wait for a long time.
53+
Thanks to everyone who helped with this release.
54+
55+
The maintenance of Ruby 2.4, including this release, is based on the “Agreement for the Ruby stable version” of the Ruby Association.

‎ja/news/_posts/2019-03-05-multiple-vulnerabilities-in-rubygems.md

+56
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,56 @@
1+
---
2+
layout: news_post
3+
title: "RubyGems の複数の脆弱性について"
4+
author: "hsbt"
5+
translator: "usa"
6+
date: 2019-03-05 00:00:00 +0000
7+
tags: security
8+
lang: ja
9+
---
10+
11+
Ruby の標準添付ライブラリである RubyGems に、複数の脆弱性が発見されました。RubyGems の公式ブログにて[報告されています](http://blog.rubygems.org/2019/03/05/security-advisories-2019-03.html)。
12+
13+
## 詳細
14+
15+
以下の脆弱性が報告されています。
16+
17+
* CVE-2019-8320: Delete directory using symlink when decompressing tar
18+
* CVE-2019-8321: Escape sequence injection vulnerability in `verbose`
19+
* CVE-2019-8322: Escape sequence injection vulnerability in `gem owner`
20+
* CVE-2019-8323: Escape sequence injection vulnerability in API response handling
21+
* CVE-2019-8324: Installing a malicious gem may lead to arbitrary code execution
22+
* CVE-2019-8325: Escape sequence injection vulnerability in errors
23+
24+
この問題の影響を受けるバージョンの Ruby のユーザーは、最新の Ruby に更新するか、下記の回避策を取ってください。
25+
26+
## 影響を受けるバージョン
27+
28+
* Ruby 2.3 系列の全てのリリース
29+
* Ruby 2.4.5 以前の全ての Ruby 2.4 系列
30+
* Ruby 2.5.3 以前の全ての Ruby 2.5 系列
31+
* Ruby 2.6.1 以前の全ての Ruby 2.6 系列
32+
* revision 67168 より前の開発版
33+
34+
## 回避策
35+
36+
原則としては、Ruby 自体を最新のリリースに更新してください。それができない場合は、以下のコマンドを実行することにより、RubyGems を最新版 (3.0.3 以降) に更新することによって、各脆弱性が修正されます。
37+
38+
```
39+
gem update --system
40+
```
41+
42+
もし何らかの理由で RubyGems 全体をも更新できない場合は、脆弱性対応のみを行うパッチが Ruby の各バージョン向けに用意されていますので、以下より入手・適用してください。
43+
44+
* [Ruby 2.4.5 用](https://bugs.ruby-lang.org/attachments/7669)
45+
* [Ruby 2.5.3 用](https://bugs.ruby-lang.org/attachments/7670)
46+
* [Ruby 2.6.1 用](https://bugs.ruby-lang.org/attachments/7671)
47+
48+
なお、開発版については、最新のリビジョンに更新してください。
49+
50+
## クレジット
51+
52+
この脆弱性情報は、[RubyGems 公式ブログ](http://blog.rubygems.org/2019/03/05/security-advisories-2019-03.html)に基づいています。
53+
54+
## 更新履歴
55+
56+
* 2019-04-01 15:00:00 (JST) [en](/en/news/2019/03/05/multiple-vulnerabilities-in-rubygems/)第3版より訳出

‎ja/news/_posts/2019-04-01-ruby-2-4-6-released.md

+52
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,52 @@
1+
---
2+
layout: news_post
3+
title: "Ruby 2.4.6 リリース"
4+
author: "usa"
5+
translator:
6+
date: 2019-04-01 06:00:00 +0000
7+
lang: ja
8+
---
9+
10+
Ruby 2.4.6 がリリースされました。
11+
これは安定版 2.4 系列の TEENY リリースです。
12+
13+
今回のリリースでは、前回リリースから 20 件ほどのバグ修正が行われ、安定性のさらなる向上が図られています。
14+
また、以下のセキュリティ上の問題に対する対応が含まれています。
15+
16+
* [RubyGems の複数の脆弱性について](/ja/news/2019/03/05/multiple-vulnerabilities-in-rubygems/)への対応
17+
18+
詳しくは、対応する [commit log](https://github.com/ruby/ruby/compare/v2_4_5...v2_4_6) を参照してください。
19+
20+
今回のリリースをもって、2.4 系列は通常メンテナンスフェーズを終了し、セキュリティメンテナンスフェーズへ移行します。セキュリティメンテナンスフェーズの期間は 1 年間を予定しており、この間は重大なセキュリティ上の問題への対応のみが行われます。セキュリティメンテナンスフェーズ期間の満了をもって、2.4 系列の公式サポートは終了します。
21+
現在、2.4 系列を利用しているユーザーの皆さんは、なるべく早く、2.6 系列等のより新しいバージョン系列の Ruby への移行を検討されるよう、お勧めします。
22+
23+
※ただし、今回のリリースにおいて何らかの重大な互換性問題が発見された場合は、これに対応するためのリリースが行われる可能性はあります。
24+
25+
## ダウンロード
26+
27+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.bz2](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.bz2)
28+
SIZE: 12623913 bytes
29+
SHA1: b44b5c6637a69b3b95971b1937ecb583dc1de568
30+
SHA256: 909f360debed1f22fdcfc9f5335c6eaa0713198db4a6c13bab426f8b89b28b02
31+
SHA512: 292802984e5cff6d526d817bde08216fe801d255c4cede0646e450f22d4a3a81ae612ec5d193dcc2a888e3e98b2531af845b6b863a2952bcf3fb863f95368bcf
32+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.gz](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.gz)
33+
SIZE: 15880585 bytes
34+
SHA1: 3bc2d9ab3381887c57e0fb7937dc14e9f419f06c
35+
SHA256: de0dc8097023716099f7c8a6ffc751511b90de7f5694f401b59f2d071db910be
36+
SHA512: 7eb7720961e98e22e4335c38eeead9db96d049ef3ac1da437769b98fee7a10feb092643ce75822a2fe3bd5fd94938417ab5c2de7c6056afe0abf6e4cf03ca282
37+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.xz](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.tar.xz)
38+
SIZE: 10005544 bytes
39+
SHA1: 86a4fa22cb3547005ec4bfcf77489a4254226187
40+
SHA256: 25da31b9815bfa9bba9f9b793c055a40a35c43c6adfb1fdbd81a09099f9b529c
41+
SHA512: eafb2257747f99e2ed262af142e71175b70f7cceaa4d1253b92c8337f075a9a58a2d93b029d75e11a9b124f112a8f0983273b2b30afc147b5cf71a8dbb5fa0ba
42+
* [https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.zip](https://cache.ruby-lang.org/pub/ruby/2.4/ruby-2.4.6.zip)
43+
SIZE: 17469891 bytes
44+
SHA1: 0e55d231c0e119304e077e42923ce6a1c3daa1d1
45+
SHA256: c5de9f11d4b7608d57139b96f7bc94899bb2fc9dee2e192c8951f6647a9d60f7
46+
SHA512: cfa779cdb970dfd35dc2a97951310cb3cde1d380b040c283fda6609c591039817a2847ab7174f7a9ee7f7adbb610709b57914bb26e5c015a20d5fe880c569855
47+
48+
## リリースコメント
49+
50+
遅くなってすみません。リリースに協力してくれた皆様に感謝します。
51+
52+
このリリースを含む Ruby 2.4 系列の保守は、[一般財団法人 Ruby アソシエーション](http://www.ruby.or.jp/)の Ruby 安定版保守委託事業に基いています。

0 commit comments

Comments
 (0)