Byly vytvořeny opravné verze programovacího jazyka Ruby 3.0.1, 2.7.3, 2.6.7 a 2.5.9, které odstraňují dvě zranitelnosti:
- CVE-2021-28965 — zranitelnost ve vestavěném modulu REXML, která při analýze a serializaci speciálně formátovaného XML dokumentu může vést ke vzniku nesprávného XML dokumentu, jehož struktura se neshoduje s originálem. Nebezpečnost této zranitelnosti silně závisí na kontextu, ale nelze vyloučit možnost útoků na některé aplikace využívající REXML.
- CVE-2021-28966 — zranitelnost specifická pro platformu Windows, která umožňuje vytvoření libovolného adresáře nebo souboru v částech souborového systému, kde je povoleno zápis pro uživatele, pod jehož právy běží proces Ruby. Problém je způsoben nesprávným zpracováním prefixu v metodě Dir.mktmpdir, kde není vyloučena substituce konstrukcí typu „..\\“. K útoku musí proces využívat externí data při vytváření hodnoty prefixu.
Zdroj: opennet.ru
