実験的「実験的日記」

_ YAML の URI エスケープ処理におけるヒープオーバーフローについて (CVE-2014-2525)

この日記を動かしてるサーバで状況を確認してみたら

$ ruby -rpsych -e 'p Psych.libyaml_version'
[0, 1, 4]

これは駄目なのか、それとも OS 提供分なのでパッチがすでに当ててあるのか、ということでもちょっと調査。

$ dpkg -l | grep yaml
ii  libyaml-0-2:amd64                  0.1.4-2+deb7u4                amd64        Fast YAML 1.1 parser and emitter library
ii  libyaml-dev:amd64                  0.1.4-2+deb7u4                amd64        Fast YAML 1.1 parser and emitter library (development)

$ dpkg -L libyaml-0-2
/.
/usr
/usr/share
/usr/share/doc
/usr/share/doc/libyaml-0-2
/usr/share/doc/libyaml-0-2/README
/usr/share/doc/libyaml-0-2/copyright
/usr/share/doc/libyaml-0-2/changelog.Debian.gz
/usr/lib
/usr/lib/x86_64-linux-gnu
/usr/lib/x86_64-linux-gnu/libyaml-0.so.2.0.2
/usr/lib/x86_64-linux-gnu/libyaml-0.so.2

$ lv /usr/share/doc/libyaml-0-2/changelog.Debian.gz
libyaml (0.1.4-2+deb7u4) wheezy-security; urgency=high

  * Non-maintainer upload by the Security Team.
  * Add CVE-2014-2525.patch patch.
    CVE-2014-2525: Heap overflow when parsing YAML tags.
    The heap overflow is caused by not properly expanding a string before
    writing to it in function yaml_parser_scan_uri_escapes in scanner.c.

 -- Salvatore Bonaccorso <carnil@debian.org>  Thu, 20 Mar 2014 16:49:19 +0100

ということですでにパッチは当たっているようだ。一安心。