Как я могу убедиться, что мои драгоценные камни безопасны?

Question

Я ищу автоматический способ проверить все драгоценные камни, используемые на моем сайте на основе синатры, для получения доступных обновлений безопасности. Существует ли такая вещь?

Мое принципиальное отношение к обновлениям: если оно не сломано, не пытайтесь его исправить. Но если я уязвим, я хочу знать об этом. Только применяя обновления безопасности, я сохраняю минимальное количество потенциальных изменений.

Предыстория: Большая часть моей предыдущей работы была в Drupal. В этом сообществе разработчики могут пометить свои выпуски модулей как устранение проблем безопасности. Это означает, что мой сайт или мои инструменты CLI могут запрашивать данные выпуска для модулей, используемых на текущем веб-сайте, чтобы узнать, доступны ли обновления для системы безопасности и уведомить меня.

Answer 1

Установите bundle-audit gem с rubysec на github. Запускайте его периодически/регулярно. Он бесплатный, обновляется через библиотеку CVE известных угроз безопасности, а в отчетах, которые в вашем проекте имеются обновления, есть обновления.

Answer 2

Насколько я знаю, нет окончательного способа автоматизировать это. В Ruby gems нет понятия о знаке, указывающем, что это обновления для системы безопасности и т. Д. Большинство поддерживающих драгоценных камней довольно хороши в том, что они соблюдают соглашение о размере major.minor.patch для номеров версий. Главными препятствиями являются API-взлом, незначительная добавленная функциональность, но обратно совместимая, а исправление - для исправлений или очень незначительных изменений. В этом нет ничего, и некоторые драгоценные камни даже не используют номера версии из трех частей. Рельсы сами по себе являются особенно вопиющими об отсутствии здесь; Недостатки рельсов Rails повсеместно несовместимы, нарушая изменения. Тем не менее, исправления рельсов, как правило, являются исправлениями безопасности.

Если этого достаточно для ваших потребностей, вы можете использовать Bundler, чтобы указать, что вы хотите только обновления исправлений:

gem 'foo', '~> 2.2.0' 

... будет установить последний уровень патча версию 2.2.x из (например, вы можете получить 2.2.12, но не 2.3.0).

См. the Rubygems docs для получения дополнительной информации о версиях (используется Bundler) и о том, как быть консервативным («пессимистичным» в их терминологии). Также см. Их numbering guidelines. Опять же, имейте в виду, что они не строго соблюдаются, и когда Rails сам предоставляет такой ужасный пример нарушения конвенции, другие авторы драгоценных камней не всегда поступают правильно.

Answer 3

Существует сайт под названием Gemnasium. Он проверяет, являются ли драгоценные камни, которые вы используете, новейшими, и если есть какие-либо проблемы с безопасностью, он отправит вам электронное письмо.

Answer 4

Если вы используете Bundler с вашим проектом, вы можете проверить, используете ли вы последние версии драгоценных камней с bundle outdated. Чтобы узнать, имеет ли известная уязвимость используемая вами версия драгоценного камня, вы можете использовать драгоценный камень bundler-audit или, альтернативно, драгоценный камень holepicker. Существует также услуга под названием Gemnasium, которая может отслеживать ваши драгоценные камни для вас и уведомлять вас о том, когда камень обновлен или имеет проблему безопасности.