Update von Ruby 2.6.5, 2.5.7 und 2.4.8 zur Behebung von Sicherheitsanfälligkeiten

Korrekturversionen der Programmiersprache Ruby wurden erstellt 2.6.5, 2.5.7 und 2.4.8, in denen vier Schwachstellen behoben wurden. Die gefährlichste Schwachstelle (CVE-2019-16255) in der Standardbibliothek Shell (lib/shell.rb), die das Öffnen eines Links in einem neuen Tab oder in einem neuen Container. eine Code-Einschleusung ermöglicht. Bei der Verarbeitung von Benutzerdaten im ersten Argument der Methoden Shell#[] oder Shell#test, die zur Überprüfung der Existenz von Dateien verwendet werden, kann der Angreifer die Ausführung beliebiger Ruby-Methoden erreichen.

Weitere Probleme:

• CVE-2019-16254 – Anfälligkeit des integrierten HTTP-Servers WEBrick für HTTP Response Splitting (wenn das Programm unüberprüfte Daten in den HTTP-Antwortheader einfügt, kann der Header durch Einfügen eines Zeilenumbruchs getrennt werden);
• CVE-2019-15845 Einschleusung von Nullzeichen (\0) in die über die Methoden „File.fnmatch“ und „File.fnmatch?“ überprüften Dateipfade, kann zu einem Fehlalarm bei der Überprüfung führen;
• CVE-2019-16201 – Denial of Service im Diges-Authentifizierungsmodul für WEBrick.

Quelle: opennet.ru