Se han generado versiones correctivas del lenguaje de programación Ruby 3.0.1, 2.7.3, 2.6.7 y 2.5.9, en las que se eliminan dos vulnerabilidades:
- CVE-2021-28965 es una vulnerabilidad en el módulo REXML incorporado que, al analizar y serializar un documento XML con formato especial, puede provocar la creación de un documento XML incorrecto cuya estructura no coincide con el original. La gravedad de la vulnerabilidad depende en gran medida del contexto, pero no se pueden descartar ataques contra algunas aplicaciones que utilizan REXML.
- CVE-2021-28966 es una vulnerabilidad específica de la plataforma Windows que permite la creación de un directorio o archivo arbitrario en partes del sistema de archivos en las que el usuario con cuyos derechos se ejecuta el proceso Ruby puede escribir. El problema se debe al procesamiento incorrecto del prefijo en el método Dir.mktmpdir, que no excluye la sustitución de construcciones como “..\\”. Para atacar, el proceso debe utilizar datos externos al generar el valor del prefijo.
Fuente: opennet.ru