Des versions correctives du langage de programmation Ruby 3.0.1, 2.7.3, 2.6.7 et 2.5.9 ont été générées, dans lesquelles deux vulnérabilités sont éliminées :
- CVE-2021-28965 est une vulnérabilité dans le module REXML intégré qui, lors de l'analyse et de la sérialisation d'un document XML spécialement formaté, peut conduire à la création d'un document XML incorrect dont la structure ne correspond pas à l'original. La gravité de la vulnérabilité dépend fortement du contexte, mais des attaques contre certaines applications utilisant REXML ne peuvent être exclues.
- CVE-2021-28966 est une vulnérabilité spécifique à la plate-forme Windows qui permet la création d'un répertoire ou d'un fichier arbitraire dans des parties du système de fichiers accessibles en écriture par l'utilisateur avec les droits duquel le processus Ruby est exécuté. Le problème est dû à un traitement incorrect du préfixe dans la méthode Dir.mktmpdir, ce qui n'exclut pas la substitution de constructions telles que « ..\\ ». Pour attaquer, le processus doit utiliser des données externes lors de la génération de la valeur du préfixe.
Source: opennet.ru