Ruby 2.6.5, 2.5.7 ug 2.4.8 update uban sa pag-ayo sa seguridad

Nahimo ang corrective releases sa Ruby programming language 2.6.5, 2.5.7 и 2.4.8, nga nag-ayo sa upat ka mga kahuyangan. Ang labing delikado nga kahuyang (CVE-2019-16255) sa standard library Shell (lib/shell.rb), nga kini nagtugot paghimo og code substitution. Kung ang datos nga nadawat gikan sa user giproseso sa unang argumento sa Shell#[] o Shell# nga mga pamaagi sa pagsulay nga gigamit sa pagsusi sa presensya sa usa ka file, ang usa ka tig-atake mahimong hinungdan sa usa ka arbitraryong pamaagi sa Ruby nga tawagan.

Uban pang mga problema:

• CVE-2019-16254 - pagkaladlad sa built-in nga http server WEBrick Pag-atake sa pagbahin sa tubag sa HTTP (kung ang usa ka programa magsal-ot sa wala mapamatud-an nga datos sa header sa tubag sa HTTP, nan ang header mahimong bahinon pinaagi sa pagsal-ot sa usa ka karakter sa bag-ong linya);
• CVE-2019-15845 pag-ilis sa null nga karakter (\0) sa mga gisusi pinaagi sa “File.fnmatch” ug “File.fnmatch?” nga mga pamaagi. Ang mga agianan sa file mahimong magamit aron ma-trigger ang tseke;
• CVE-2019-16201 - pagdumili sa serbisyo sa Diges authentication module para sa WEBrick.

Source: opennet.ru