Se han creado versiones de corrección del lenguaje de programación Ruby , y , en las que se han solucionado cuatro vulnerabilidades. La vulnerabilidad más crítica (CVE-2019-16255) en la biblioteca estándar (lib/shell.rb), que permite la inyección de código. En el caso de procesar los datos recibidos del usuario en el primer argumento de los métodos Shell#[] o Shell#test, utilizados para verificar la existencia de un archivo, un atacante podría lograr la invocación de un método Ruby arbitrario.
Otros problemas:
- — vulnerabilidad del servidor http integrado a un ataque de separación de respuestas HTTP (si el programa inserta datos no validados en el encabezado de respuesta HTTP, mediante la inserción de un carácter de nueva línea se puede dividir el encabezado);
- la inserción de un carácter nulo (\0) en las rutas de archivos verificadas a través de los métodos «File.fnmatch» y «File.fnmatch?», podría ser utilizada para provocar falsos positivos en las verificaciones;
- — denegación de servicio en el módulo de autenticación Digest para WEBrick.
Fuente: opennet.ru
