Ruby 'OCSP_basic_verify()' X.509证书验证漏洞

BUGTRAQ ID: 33769 CNCAN ID：CNCAN-2009021502 Ruby是一款面向对象编程的脚本语言。 Ruby处理X.509证书验证问题，远程攻击者可以利用漏洞进行钓鱼和伪造合法站点，获取敏感信息。 问题代码如下： ext/openssl/ossl_ocsp.c: result = OCSP_basic_verify(bs, x509s, x509st, flg); sk_X509_pop_free(x509s, X509_free); if(!result) rb_warn(&quot;%s&quot;, ERR_error_string(ERR_peek_error(), NULL)); return result ? Qtrue : Qfalse; OCSP_basic_verify()在错误条件下可返回0或者-1，因此这个函数会不正确返回信息给调用者。 Yukihiro Matsumoto Ruby 1.9.1 Yukihiro Matsumoto Ruby 1.9 -2 Yukihiro Matsumoto Ruby 1.9 -1 Yukihiro Matsumoto Ruby 1.9 Yukihiro Matsumoto Ruby 1.8.7 p72 Yukihiro Matsumoto Ruby 1.8.7 p71 Yukihiro Matsumoto Ruby 1.8.7 -p22 Yukihiro Matsumoto Ruby 1.8.7 -p21 Yukihiro Matsumoto Ruby 1.8.7 Yukihiro Matsumoto Ruby 1.8.6 p287 Yukihiro Matsumoto Ruby 1.8.6 p286 Yukihiro Matsumoto Ruby 1.8.6 -p230 Yukihiro Matsumoto Ruby 1.8.6 -p229 Yukihiro Matsumoto Ruby 1.8.6 -p114 Yukihiro Matsumoto Ruby 1.8.6 Yukihiro Matsumoto Ruby 1.8.5 -p231 Yukihiro Matsumoto Ruby 1.8.5 -p230 Yukihiro Matsumoto Ruby 1.8.5 -p115 Yukihiro Matsumoto Ruby 1.8.5 Yukihiro Matsumoto Ruby 1.8.5 Yukihiro Matsumoto Ruby 1.8.4 Yukihiro Matsumoto Ruby 1.8.3 Yukihiro Matsumoto Ruby 1.8.2 pre4 + Gentoo Linux Yukihiro Matsumoto Ruby 1.8.2 pre3 + Gentoo Linux Yukihiro Matsumoto Ruby 1.8.2 pre2 Yukihiro Matsumoto Ruby 1.8.2 pre1 Yukihiro Matsumoto Ruby 1.8.2 + RedHat Fedora Core4 + RedHat Fedora Core3 Yukihiro Matsumoto Ruby 1.8.1 + RedHat Fedora Core3 + RedHat Fedora Core2 Yukihiro Matsumoto Ruby 1.8 + RedHat Fedora Core3 + Ubuntu Ubuntu Linux 5.0 4 powerpc + Ubuntu Ubuntu Linux 5.0 4 i386 + Ubuntu Ubuntu Linux 5.0 4 amd64 + Ubuntu Ubuntu Linux 4.1 ppc + Ubuntu Ubuntu Linux 4.1 ia64 + Ubuntu Ubuntu Linux 4.1 ia32 Yukihiro Matsumoto Ruby 1.9.0-3 Yukihiro Matsumoto Ruby 1.9 厂商解决方案 目前没有解决方案提供： <a href=http://www.ruby-lang.org target=_blank rel=external nofollow>http://www.ruby-lang.org</a>