KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2017-17405 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
2.4.3之前的Ruby允许Net :: FTP命令注入。 Net :: FTP＃get，getbinaryfile，gettextfile，put，putbinaryfile和puttextfile使用Kernel＃open打开本地文件。如果localfile参数以“|”pipe character开头，执行 pipe character符后面的命令。 localfile的默认值是File.basename(remotefile)，因此恶意FTP服务器可能导致任意命令执行。
影响范围
应用：ruby-lang ruby（影响面 Up to (including) 2.2.8）
应用：ruby-lang ruby（影响面 Up to (including) 2.3.5）
应用：ruby-lang ruby（影响面 Up to (including) 2.4.2）
应用：ruby-lang ruby（版本 2.5.0）
系统：alpine_3.10 ruby（影响面 Up to (excluding) 2.4.3-r0）
系统：alpine_3.11 ruby（影响面 Up to (excluding) 2.4.3-r0）
系统：alpine_3.12 ruby（影响面 Up to (excluding) 2.4.3-r0）
系统：alpine_3.13 ruby（影响面 Up to (excluding) 2.4.3-r0）
……另有 25 项受影响环境，详见官方公告
解决方案
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.ruby-lang.org/en/news/2017/12/14/ruby-2-4-3-released/
参考信息
http://www.securityfocus.com/bid/102204
http://www.securitytracker.com/id/1042004
https://access.redhat.com/errata/RHSA-2018:0378
https://access.redhat.com/errata/RHSA-2018:0583
https://access.redhat.com/errata/RHSA-2018:0584
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。