A Ruby programozási nyelv hibajavító kiadásai készültek el , és , amelyek négy sebezhetőséget orvosolnak. A legveszélyesebb sebezhetőség (CVE-2019-16255) a standard könyvtárban található (lib/shell.rb), amely kódbeillesztést tesz lehetővé. Ha a felhasználótól származó adatokat az első argumentumban a Shell#[] vagy a Shell#test metódusokban dolgozzák fel, amelyeket fájlok meglétének ellenőrzésére használnak, a támadó tetszőleges Ruby-metódus hívását érheti el.
Egyéb problémák:
- — a beépített http-szerver sebezhetősége HTTP válaszmegosztás-ütközés esetén (ha a program ellenőrizetlen adatokat illeszt be a HTTP válasz fejlécébe, akkor az új sor karakterének beillesztésével megoszthatják a fejlécet);
- nulla karakter () beillesztése a «File.fnmatch» és «File.fnmatch?» metódusokon keresztül ellenőrzött fájlnevekbe, hamis pozitív ellenőrzést okozhat;
- — szolgáltatási megtagadás a WEBrick Diges-hitelesítési moduljában.
Forrás: opennet.ru
