कमजोरियों को ठीक करके रूबी 2.6.5, 2.5.7 और 2.4.8 को अपडेट करें

रूबी प्रोग्रामिंग भाषा की सुधारात्मक रिलीज़ तैयार की गई हैं 2.6.5, 2.5.7 и 2.4.8, जिसने चार कमजोरियों को ठीक किया। मानक लाइब्रेरी में सबसे खतरनाक भेद्यता (CVE-2019-16255)। खोल (lib/shell.rb), जो यह अनुमति देता है कोड प्रतिस्थापन करें. यदि उपयोगकर्ता से प्राप्त डेटा को फ़ाइल की उपस्थिति की जांच करने के लिए उपयोग की जाने वाली शेल#[] या शेल#परीक्षण विधियों के पहले तर्क में संसाधित किया जाता है, तो एक हमलावर एक मनमानी रूबी विधि को कॉल करने का कारण बन सकता है।

दूसरी समस्याएं:

• CVE-2019-16254 - अंतर्निहित http सर्वर के संपर्क में वेबब्रिक HTTP रिस्पॉन्स स्प्लिटिंग अटैक (यदि कोई प्रोग्राम HTTP रिस्पॉन्स हेडर में असत्यापित डेटा डालता है, तो हेडर को एक न्यूलाइन कैरेक्टर डालकर विभाजित किया जा सकता है);
• CVE-2019-15845 "File.fnmatch" और "File.fnmatch?" विधियों के माध्यम से जांचे गए वर्णों में शून्य वर्ण (\0) का प्रतिस्थापन। फ़ाइल पथों का उपयोग गलत तरीके से चेक ट्रिगर करने के लिए किया जा सकता है;
• CVE-2019-16201 - WEBrick के लिए Diges प्रमाणीकरण मॉड्यूल में सेवा से इनकार।

स्रोत: opennet.ru