Uppfærðu Ruby 2.6.5, 2.5.7 og 2.4.8 með veikleikum lagað

Leiðréttingarútgáfur á Ruby forritunarmálinu hafa verið búnar til 2.6.5, 2.5.7 и 2.4.8, sem lagaði fjóra veikleika. Hættulegasta varnarleysið (CVE-2019-16255) í staðlaða bókasafninu Shell (lib/shell.rb), sem gerir framkvæma kóðaskipti. Ef gögn sem berast frá notandanum eru unnin í fyrstu röksemdum Shell#[] eða Shell# prófunaraðferðanna sem notuð eru til að athuga tilvist skráar, getur árásarmaður valdið því að handahófskennd Ruby aðferð sé kölluð.

Önnur vandamál:

• CVE-2019-16254 - útsetning fyrir innbyggða http þjóninum WEBrick HTTP svörunarárás (ef forrit setur óstaðfest gögn inn í HTTP svarhausinn, þá er hægt að skipta hausnum með því að setja inn nýlínustaf);
• CVE-2019-15845 skipting á núllstafnum (\0) í þá sem merkt er með „File.fnmatch“ og „File.fnmatch?”. hægt er að nota skráarslóðir til að kveikja ranglega á athuguninni;
• CVE-2019-16201 — neitun á þjónustu í Diges auðkenningareiningunni fyrir WEBrick.

Heimild: opennet.ru