A Ruby 3.0.1-es, 2.7.3-as, 2.6.7-es és 2.5.9-es javító kiadásai készültek, amelyekben két sebezhetőséget küszöbölnek ki:
- A CVE-2021-28965 a beépített REXML-modul biztonsági rése, amely egy speciálisan formázott XML-dokumentum elemzésekor és sorba rendezésekor hibás XML-dokumentum létrehozásához vezethet, amelynek szerkezete nem egyezik az eredetivel. A sérülékenység súlyossága nagymértékben függ a környezettől, de nem zárható ki egyes REXML-t használó alkalmazások elleni támadás.
- A CVE-2021-28966 egy Windows-platform-specifikus biztonsági rés, amely lehetővé teszi tetszőleges könyvtár vagy fájl létrehozását a fájlrendszer azon részein, amelyekre a Ruby-folyamatot futtató felhasználó írhatja. A problémát az előtag helytelen feldolgozása okozza a Dir.mktmpdir metódusban, ami nem zárja ki az olyan konstrukciók helyettesítését, mint a „..\\”. A támadáshoz a folyamatnak külső adatokat kell használnia az előtag értékének generálásakor.
Forrás: opennet.ru