Актуализация на Ruby 3.0.1 с отстраняване на уязвимости

Създадени са корективни версии на програмния език Ruby 3.0.1, 2.7.3, 2.6.7 и 2.5.9, в които са отстранени две уязвимости:

• CVE-2021-28965 — уязвимост в вградената библиотека REXML, която при анализ и сериализация на специално форматиран XML документ може да доведе до създаването на неправилен XML документ, структурата на който не съвпада с оригинала. Опасността от уязвимостта значително зависи от контекста, но не е изключена възможността за атаки срещу определени приложения, използващи REXML.
• CVE-2021-28966 — уязвимост, специфична за платформата Windows, която позволява създаването на произволна директория или файл в части от файловата система, в които записването от потребителя, от името на който се изпълнява процесът Ruby, е разрешено. Проблемът е причинен от неправилна обработка на префикса в метода Dir.mktmpdir, в който не се изключва подмяната на конструкции от вида «..\\». За да се осъществи атака, процесът трябва да използва външни данни при формирането на стойността на префикса.

Източник: opennet.ru