Aktualisierung Ruby 3.0.1 zur Behebung von Sicherheitsanfälligkeiten.

Korrekturen für die Programmiersprache Ruby in den Versionen 3.0.1, 2.7.3, 2.6.7 und 2.5.9 wurden veröffentlicht, um zwei Sicherheitsanfälligkeiten zu beheben:

• CVE-2021-28965 – eine Sicherheitsanfälligkeit im integrierten REXML-Modul, die beim Parsen und Serialisieren eines speziell gestalteten XML-Dokuments zu einem ungültigen XML-Dokument führen kann, dessen Struktur nicht mit dem Original übereinstimmt. Die Gefährlichkeit dieser Anfälligkeit hängt stark vom Kontext ab, jedoch ist nicht auszuschließen, dass Angriffe auf bestimmte Anwendungen, die REXML verwenden, möglich sind.
• CVE-2021-28966 – eine plattformspezifische Sicherheitsanfälligkeit für Windows, die es ermöglicht, beliebige Verzeichnisse oder Dateien in Teilen des Dateisystems zu erstellen, in denen Schreibrechte für den Benutzer vorhanden sind, unter dem der Ruby-Prozess läuft. Das Problem entsteht durch die fehlerhafte Verarbeitung des Präfixes in der Methode Dir.mktmpdir, in der Konstruktionen wie "..\\" nicht ausgeschlossen werden. Für einen Angriff muss der Prozess externe Daten zur Bildung des Präfixwertes verwenden.

Quelle: opennet.ru