Rails 2.3.4: security fixes

Gisteren werden enkele kwetsbaarheden in Rails 2.3.3 aangekondigd. De Rails community heeft de patches voor deze kwetsbaarheden, en nog een handvol andere bugfixes in een nieuwe release gestopt, en deze werd deze nacht gepubliceerd. Onze Rails-servers werden deze morgen voorzien van deze nieuwe versie.

De twee belangrijke kwetsbaarheden zijn een  XSS vulnerability en een fout met volgende ronkende naam Timing Weakness in MessageVerifier and the Cookie Store. De Cross Site Scripting (XSS) kwetsbaarheid is een fout die actief kan misbruikt worden, de Timing Weakness is moeilijker te misbruiken. We raden onze klanten dan ook aan om snel hun applicaties te testen op deze nieuwe versie, en hun site te updaten. Wanneer je rails "gevendored" is in je project, dien je de upgrade daar door te voeren, anders dien je in je environment.rb de juiste versie-string mee te geven aan de variable "RAILS_GEM_VERSION".

Lees meer hierover op de Rails Weblog.