Ruby värskendus 2.6.5, 2.5.7 ja 2.4.8 turvaaukude parandamisega.

Ruby programmeerimiskeele korrektsiooniversioonid on välja antud 2.6.5, 2.5.7 ja 2.4.8, milles on kõrvaldatud neli turvaviga. Kõige ohtlikum viga (CVE-2019-16255) standardraamatukogus Shell (lib/shell.rb), mis lubab teeb koodi asendamise võimaliku. Kui töötada kasutajalt saadud andmetega Shell#[] või Shell#test meetodite esimeses argumendis, mida kasutatakse faili olemasolu kontrollimiseks, võib ründaja saavutada suvalise Ruby meetodi väljakutse.

Muud probleemid:

• CVE-2019-16254 — WEBrick integreeritud http-serveri haavatavus HTTP vastuste jagamise rünnaku suhtes (kui programm sisestab kontrollimata andmeid HTTP vastuse päisesse, saab reavahetuse sümboli lisamise kaudu päise jagada); атаке по разделению ответов HTTP (если программа подставляет непроверенные данные в HTTP-заголовок ответа, то через вставку символа перевода строки можно разделить заголовок);
• CVE-2019-15845 nullsümboli (\0) asendamine «File.fnmatch» ja «File.fnmatch?» meetoditega kontrollitavates failiteedes, võib viia valepositiivse kontrolli;
• CVE-2019-16201 — teenuse katkestamine WEBrick Diges autentimise moodulis.

Allikas: opennet.ru