Készültek a Ruby programozási nyelv 3.0.1, 2.7.3, 2.6.7 és 2.5.9 verziójának javítókiadásai, amelyekben két sebezhetőséget orvosoltak:
- CVE-2021-28965 — a beépített REXML modul sebezhetősége, amely speciálisan formázott XML-dokumentum elemzése és sorozatosítása során helytelen XML-dokumentum előállításához vezethet, amelynek szerkezete nem egyezik meg az eredetivel. A sebezhetőség veszélye nagymértékben függ a kontextustól, de nem zárható ki a támadások lehetősége bizonyos alkalmazások ellen, amelyek REXML-t használnak.
- CVE-2021-28966 — Windows platformra jellemző sebezhetőség, amely lehetővé teszi tetszőleges könyvtár vagy fájl létrehozását olyan fájlrendszer részeken, ahol a felhasználó, akinek a Ruby processz fut, írási joggal rendelkezik. A probléma a Dir.mktmpdir metódusában a prefix helytelen kezeléséből adódik, amely nem zárja ki az olyan „..\\” jellegű beillesztések használatát. A támadáshoz a folyamatnak külső adatokat kell használnia a prefix érték kialakításához.
Forrás: opennet.ru
