现在在Ruby离开Rails之前更新Ruby

你使用Ruby on Rails吗？如果是这样，是时候更新了。现在，

Ruby on Rails是一个开源的Web应用程序框架，可用于Ruby编程语言。 Ruby on Rails--或者说Rails - 使Web开发人员能够从Web服务器收集信息或查询数据库。 Rails用于从电子商务到云存储的大约25万个网站。

Rails包含攻击者正在攻击的关键漏洞。大量分配漏洞是Rails与SQL注入漏洞相当，并暴露了Rails的漏洞。

[更多阅读：如何从Windows PC删除恶意软件]

现在更新Ruby以修补极其严重的漏洞。 nCircle安全研究与开发总监Bailey解释说：“Ruby on Rails的所有未修补版本都包含涉及参数解析的关键漏洞，攻击者可以使用这些漏洞执行代码或发起SQL注入攻击。”

Bailey还指出这些流行的工具已经实现了攻击的自动化，所以攻击者更容易使用它。这些漏洞在野外流传，并且有报告称劫持Web服务器。一个成功的漏洞攻击可以让攻击者接管一个网站，或从底层数据库窃取有价值的数据。

这个问题会影响XML分析器处于活动状态的任何服务器 - 默认情况下是这样。一种可能的解决方法是简单地禁用XML解析器，但是如果您的Rails应用程序需要处理XML输入，您将遇到问题。有一个Rails安全公告，深入介绍了如何禁用YAML和Symbol支持，这是XML解析器中问题的症结所在。

更好的解决方案是更新有缺陷的Rails。新版本的Rails可以修补这些漏洞。新版本（3.2.11，3.1.10，3.0.19和2.3.15）包含两个非常关键的安全修复程序。安全专家呼吁IT管理员更新Ruby on Rails是最优先考虑的问题。

Bailey说：“立即更新[Rails]，如果不早的话。”