Bug #11248: Backport r50829

• Status: Closed
• Assignee: -
• Target version: -
• Backport: 2.0.0: DONE, 2.1: DONE, 2.2: DONE

[hsbt (Hiroshi SHIBATA)]

rubygems で修正済みの CVE-2015-3900 に対するパッチのバックポートをお願いします

[hsbt (Hiroshi SHIBATA)]

• Status changed from Open to Closed

[usa (Usaku NAKAMURA)]

バージョン変わらなくてもいいんでしょうかねえ？

[hsbt (Hiroshi SHIBATA)]

• File deleted (rubygems-ruby_2_1.patch)

[hsbt (Hiroshi SHIBATA)]

• File rubygems-ruby_2_1-2.patch rubygems-ruby_2_1-2.patch added

Ruby 2.1 については rubygems 2.2.3 から 2.2.5 と CVE-2015-3900 の修正のみを反映させることが出来そうなのでパッチを更新しました。 Ruby 2.0.0 の rubygems 2.0.x と Ruby 2.2 の rubygems 2.4.x については CVE-2015-3900 以外の修正も含まれるのでバージョンは変更しない方がよさそうです。

[usa (Usaku NAKAMURA)]

ええと、新しいバージョンのrubygemsを入れたいということは一切ないのですが
(むしろ絶対にそんなことはしたくない、というか保守ポリシー的にできない)、
変更する以上はバージョン番号を変えないといけないんじゃないの？ という疑問があり、
つまり2.0.14.1とか2.2.3.1とか2.4.5.1とかにすべきなんじゃないかなー、
という意味だったのでした。

[hsbt (Hiroshi SHIBATA)]

なるほど理解しました。

rubygems のバージョンポリシーがわかりませんが、2.0.14.1, 2.2.5(これは余分な変更が含まれないため), 2.4.5.1 が良さそうな気がします。

[usa (Usaku NAKAMURA)]

rubygemsのバージョンポリシーは私も詳しくないのですが、過去の例を見る限りでは
それでよさそうな気がします。
2.2.5も本家を確認して納得しました。

[nagachika (Tomoyuki Chikanaga)]

• Backport changed from 2.0.0: REQUIRED, 2.1: REQUIRED, 2.2: REQUIRED to 2.0.0: REQUIRED, 2.1: REQUIRED, 2.2: DONE

r51619 で ruby_2_2 ブランチにバックポートしました。
Gem::VERSION は "2.4.5.1" にしておきました。

[usa (Usaku NAKAMURA)]

• Backport changed from 2.0.0: REQUIRED, 2.1: REQUIRED, 2.2: DONE to 2.0.0: DONE, 2.1: DONE, 2.2: DONE