Актуализация на Ruby 3.0.1 с отстраняване на уязвимости

Коригирани са версиите на програмния език Ruby 3.0.1, 2.7.3, 2.6.7 и 2.5.9, в които са отстранени две уязвимости:

• CVE-2021-28965 — уязвимост в вградения модул REXML, която при парсинг и сериализация на специално оформен XML документ може да доведе до създаването на невалиден XML документ, чиято структура не съвпада с оригинала. Опасността от уязвимостта зависи значително от контекста, но не се изключва възможността за атаки върху някои приложения, използващи REXML.
• CVE-2021-28966 — уязвимост специфична за платформата Windows, която позволява създаването на произволна директория или файл в части на файловата система, където е позволено записване от потребителя, с правата на който се изпълнява процесът Ruby. Проблемът е causado от неверна обработка на префикса в метода Dir.mktmpdir, в който не се изключва подмяната на конструкции вида «..\\». За атака, процесът трябва да използва външни данни при формирането на стойността на префикса.

Източник: opennet.ru