Ruby 2.6.5, 2.5.7 ja 2.4.8 uuendused turvaaukude kõrvaldamiseks

On loodud Ruby programmeerimiskeele parandavad väljalasked 2.6.5, 2.5.7 ja 2.4.8, milles on kõrvaldatud neli haavatavust. Kõige ohtlikum haavatavus (CVE-2019-16255) on standardraamatukogus Shell (lib/shell.rb), mis kaugelt sulgeda vahekaarte, mis on avatud teistel seadmetel. soodustab koodi sisestamist. Kui töötatakse ülesannete kasutajalt saadud andmetega esimeses argumendis Shell#[] või Shell#test meetodites, mis on mõeldud faili olemasolu kontrollimiseks, võib ründaja saavutada suvalise Ruby meetodi väljakutsumise.

Teised probleemid:

• CVE-2019-16254 — WEBrick'i sisseehitatud http-server on haavatav HTTP vastuste lõhkumise rünnakule (kui programm lisab kontrollimata andmed HTTP vastuse päisesse, võib reavahetuse sümboli sisestamise kaudu päise eraldada); CVE-2019-15845 null märgi () sisestamine failiteede kontrollimisel meetoditega „File.fnmatch” ja „File.fnmatch?”, võib olla kasutatud vale tuvastamise esilekutsumiseks;
• CVE-2019-16201 — teenuse katkestamine WEBrick'i autentimisalgoritmi modulis.
• On loodud Ruby 2.6.5 programmeerimiskeele parandavad väljalasked, 🥇Ruby 2.6.5, 2.5.7 ja 2.4.8 värskendamine haavatavuste kõrvaldamiseks | ProHoster

Allikas: opennet.ru