Сформированы корректирующие релизы языка программирования Ruby , и , в которых устранены четыре уязвимости. Наиболее опасная уязвимость (CVE-2019-16255) в стандартной библиотеке (lib/shell.rb), которая осуществить подстановку кода. В случае обработки полученных от пользователя данных в первом аргументе методов Shell#[] или Shell#test, используемых для проверки наличия файла, атакующий может добиться вызова произвольного Ruby-метода.
Другие проблемы:
- — подверженность встроенного http-сервера атаке по разделению ответов HTTP (если программа подставляет непроверенные данные в HTTP-заголовок ответа, то через вставку символа перевода строки можно разделить заголовок);
- подстановка нулевого символа (\0) в проверяемые через методы «File.fnmatch» и «File.fnmatch?» файловые пути, может быть использована для ложного срабатывания проверки;
- — отказ в обслуживании в модуле Diges-аутентификации для WEBrick.
Источник: opennet.ru