Ruby/Rails安全警報

Question

Ruby開發人員如何隨時更新ruby和rubygem安全警報和更新？我發現了這個今天：

https://support.cloud.engineyard.com/entries/22915701-january-14-2013-security-vulnerabilities-httparty-extlib-crack-nori-update-these-gems-immediately

，不知道如何開發人員通常與這些類型的警報跟上。提前致謝。

Answer 1

我認爲這兩個來源應該儘快爲您提供相關信息。您也可以在rubygems.org上註冊一個帳戶，並將Rails添加到您的RSS源中。

• Ruby on Rails on Twitter
• Rails core mailing list

Answer 2

對於Rails的，只是註冊電子郵件通知Rails的安全谷歌組：

https://groups.google.com/forum/?fromgroups#!forum/rubyonrails-security

Answer 3

另外，Ruby 5 Podcast是每週兩次的資源和每週只需要10分鐘的時間。

Answer 4

Ruby Security Announcements列表專門針對Ruby和Rubygems中的安全問題。

Answer 5

還檢查了bundler-audit gem自動執行此過程。它會檢查你的寶石是否存在已知的漏洞，並且還推薦一些關於更新過程的改進。

Answer 6

我其實wrote about this a few weeks back。這些是我推薦的東西：

1. 按照Ruby和Rails安全郵件列表。
2. 使用CVE Reports可以儘快獲取安全警報的詳細信息。 CVE代表「常見漏洞和暴露」，它是一種行業標準報告機制。
3. 儘可能保持您的依賴性爲最新狀態。運行bundle outdated以獲取此信息。保持測試套件> 85％將使依賴性升級更容易。
4. 爲您的團隊創建一個流程，以便保持最新的壓縮安全問題。我在博客文章中詳細說明如何做到這一點。
5. 使用工具如bundle-audit,AppCanary,Hakiri或Gemnasium來自動檢測寶石安全問題。這些是插入到CI環境中的簡單工具。

Answer 7

此外，如果您發現很難找到時間來查找更新或執行實際更新：每週一更新軟件，正如我在the week with a Rails security strategy

中所述