Vulnerabilidades em RoR, Ruby

JavaEvangelist Membro desde: 04/04/2006 19:25:13 Mensagens: 478 Offline

Ruby, Rails. Muito bom. Mas como toda a coisa boa tem seus lados negativos, aí vai o saldo de vulnerabilidades de ruby e ror, até o momento:

http://search.securityfocus.com/swsearch?query=ruby&sbm=%2F&submit=Search%21&metaname=swishtitle&sort=swishlastmodified

E o pior dos bugs, no ruby on rails, não foi descoberto pelo team do ruby on rails, foi descoberto pelo pessoal do Gentoo, o bug sobreviveu por 5 versões. Isso é alarmante pois induz a pensar que o pessoal do core team do ruby on rails não está dando a atenção necessária a segurança. RoR não é como apache, bind, ou outros (comunidades monstruosas), onde bugs sao arrumados em questão de horas, ou geralmente arrumados antes de se tornarem publicos, isso pode deixar algumas pessoas com o pé atrás em relacao ao ruby on rails.

===

Quanto ao Ruby, eu não tinha visto um "erro de design" desse desde a primeira versão do sendmail:

Ruby uses blocking sockets for WEBrick and XMLRPC servers.

Isso em pleno 2006. Detalhe: Sockets bloqueantes devem ser SEMPRE desacoplados do processo (sem fork ou similares), qualquer livro do tipo "faça um servidor http em 24 horas" vem isso escrito bem grande e repetidas vezes. E é por isso que utilizar ServerSocket em java é perigoso.

Com o aumento do foco, ruby, rails serão colocados à prova, talvez não seja o momento de ser cobaia.

Isso é outra falha de segurança ou é aquela notícia de Agosto que precisavam atualizar pra versão 1.1.6?

Proteu Alcebidiano wrote:Isso é outra falha de segurança ou é aquela notícia de Agosto que precisavam atualizar pra versão 1.1.6?

Sao as de Agosto.

Notícias, artigos e o maior fórum brasileiro sobre Java