質問: rdocをアンインストールすると、UbuntuをRubyのRDoc XSSの脆弱性から安全にすることができますか? 私はちょうど [http ://www.ruby-lang.org/en/news/2013/02/06/rdoc-xss-cve-2013-0256/](https://www.ruby-lang.org/en/news/2013/02/06/rdoc-xss-cve-2013-0256/) 、RDocのXSSエクスプロイトに関するレポート。 私はUbuntu 12.04を使用しています.Ubuntuはすぐにこの脆弱性に対処することになります。 すべてのRDocドキュメントを削除し、 `rdoc` 実行ファイルをアンインストールすると、この脆弱性から私は安全になりますか? 私はRDoc文書を一般公開していませんが、この脆弱性を忘れてしまった場合、私自身の閲覧のために `gem server` を実行することがあります。
回答: 悪意のあるユーザーが独自のサーバーへの細工されたリンクを提供していない限り、あなたの場合は安全です。基本的に誰かがこの悪用を使ってrdocをホストしていた場合、悪意のあるユーザーはURL内のターゲット参照にコードを入れて、誰かに細工されたリンクを送ることができます。 CVEの差分を見ると、もともと変数 "target"が保護されていないラッピングコードに渡されていたことが分かります。それから、誰かが `http://example.com/rdoc/File.html#codeのようなものを送信して、Cookieを盗み出すものを犠牲者のブラウザから表示させることができます。`