strong_password Ruby gem malicious version causing Remote Code Execution vulnerability

緊急 9.8CVE-2019-13354 · GHSA-5h5r-ffc4-c455 · 08/07/2019 公開 · 17/06/2026 更新

要点

CVE-2019-13354 は strong_password, strong password (strong password project) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.3%（全脆弱性の 88.7% より高い）。
対処：0.0.8 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
strong_password RubyGems	`≥ 0.0.7, < 0.0.8`	`0.0.8`
strong password strong_password_project	`= 0.0.7`	修正版なし

概要

The strong_password gem 0.0.7 for Ruby, as distributed on RubyGems.org, included a code-execution backdoor inserted by a third party. Version 0.0.8 does not contain the backdoor.

NVD の説明

The strong_password gem 0.0.7 for Ruby, as distributed on RubyGems.org, included a code-execution backdoor inserted by a third party. The current version, without this backdoor, is 0.0.6.

参考情報

nvd.nist.gov/vuln/detail/CVE-2019-13354 · ADVISORY
benjamin-bouchet.com/blog/vulnerabilite-dans-la-gem-strong_password-0-0-7 · WEB
bdmac/strong_password · PACKAGE
bdmac/strong_password release · WEB
rubysec/ruby-advisory-db · WEB
rubygems.org/gems/strong_password/versions · WEB
withatwist.dev/strong-password-rubygem-hijacked.html · WEB
benjamin-bouchet.com/blog/vulnerabilite-dans-la-gem-strong_password-0-0-7 · Third Party Advisory

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

strong_password

RubyGems

≥ 0.0.7, < 0.0.8

0.0.8

strong password

strong_password_project

= 0.0.7

修正版なし

概要

The strong_password gem 0.0.7 for Ruby, as distributed on RubyGems.org, included a code-execution backdoor inserted by a third party. Version 0.0.8 does not contain the backdoor.

NVD の説明

The strong_password gem 0.0.7 for Ruby, as distributed on RubyGems.org, included a code-execution backdoor inserted by a third party. The current version, without this backdoor, is 0.0.6.