Mise à jour Ruby 3.0.1 avec vulnérabilités corrigées

Des versions correctives du langage de programmation Ruby 3.0.1, 2.7.3, 2.6.7 et 2.5.9 ont été générées, dans lesquelles deux vulnérabilités sont éliminées :

• CVE-2021-28965 est une vulnérabilité dans le module REXML intégré qui, lors de l'analyse et de la sérialisation d'un document XML spécialement formaté, peut conduire à la création d'un document XML incorrect dont la structure ne correspond pas à l'original. La gravité de la vulnérabilité dépend fortement du contexte, mais des attaques contre certaines applications utilisant REXML ne peuvent être exclues.
• CVE-2021-28966 - Spécifique à la plateforme Windows Une vulnérabilité permet la création d'un répertoire ou d'un fichier arbitraire dans les parties du système de fichiers accessibles en écriture par l'utilisateur avec les privilèges duquel s'exécute le processus Ruby. Ce problème est dû à une gestion incorrecte des préfixes dans la méthode `Dir.mktmpdir`, qui autorise la substitution de constructions telles que `..\\`. Pour mener à bien l'attaque, le processus doit utiliser des données externes lors de la formation de la valeur du préfixe.

Source: opennet.ru