Byly vytvořeny opravné verze programovacího jazyka Ruby , a , v nichž byly odstraněny čtyři zranitelnosti. Nejnebezpečnější zranitelnost (CVE-2019-16255) ve standardní knihovně (lib/shell.rb), která umožňuje substituci kódu. Při zpracování dat od uživatele v prvním argumentu metod Shell#[] nebo Shell#test, které se používají k ověření existence souboru, může útočník dosáhnout výzvy libovolné Ruby metody.
Další problémy:
- — zranitelnost vestavěného http-serveru před útokem na oddělení odpovědí HTTP (pokud program vkládá neověřená data do HTTP hlavičky odpovědi, pak prostřednictvím vložení znaku nového řádku může oddělit hlavičku);
- substituce nulového znaku (\0) v cestách k souborům ověřovaných metodami „File.fnmatch“ a „File.fnmatch?“ může být použita k falešnému spuštění kontroly;
- — saturace služby v modulu Diges-autentizace pro WEBrick.
Zdroj: opennet.ru
