Der er udgivet korrigerende opdateringer til programmeringssproget Ruby 3.0.1, 2.7.3, 2.6.7 og 2.5.9, som løser to sårbarheder:
- CVE-2021-28965 — en sårbarhed i det indbyggede REXML-modul, som ved parsing og serialisering af et specielt udformet XML-dokument kan føre til oprettelse af et ugyldigt XML-dokument, hvis struktur ikke svarer til originalen. Sårbarhedens alvor afhænger stærkt af konteksten, men angreb på visse applikationer, der bruger REXML, er ikke udelukket.
- CVE-2021-28966 — en Windows-specifik sårbarhed, der gør det muligt at oprette vilkårlige mapper eller filer i dele af filsystemet, hvor brugeren, som processen Ruby kører under, har skriveadgang. Problemet skyldes forkert behandling af præfiks i metoden Dir.mktmpdir, hvor indsatser som «..\\» ikke bliver udelukket. For at angrebet skal lykkes, skal processen bruge eksterne data, når værdi præfiks genereres.
Kilde: opennet.ru
