Сформирани са коригиращи издания на програмния език Ruby , и , в които са отстранени четири уязвимости. Най-опасната уязвимост (CVE-2019-16255) в стандартната библиотека (lib/shell.rb), която осъществява подмяна на код. В случай на обработка на получените от потребителя данни в първия аргумент на методите Shell#[] или Shell#test, използвани за проверка на наличието на файл, атакуващият може да постигне извикване на произволен Ruby метод.
Други проблеми:
- — податливост на вградения http-сървър на атака по разделяне на HTTP отговори (ако програмата поставя непроверени данни в HTTP заглавката на отговора, чрез вмъкване на символ за нов ред може да се раздели заглавката);
- подмяна на нулев символ (\0) в проверяваните чрез методите „File.fnmatch“ и „File.fnmatch?“ файлови пътища, може да бъде използвана за фалшиво сработване на проверката;
- — отказ в обслужването в модула Diges-аутентификация за WEBrick.
Източник: opennet.ru
