Sono stati rilasciati aggiornamenti correttivi per il linguaggio di programmazione Ruby , e , in cui sono state corrette quattro vulnerabilità. La vulnerabilità più pericolosa (CVE-2019-16255) nella libreria standard (lib/shell.rb), che consente l'esecuzione di codice in sostituzione. Se vengono elaborati i dati forniti dall'utente nel primo argomento dei metodi Shell#[] o Shell#test, utilizzati per verificare la presenza di un file, un attaccante può provocare la chiamata di un metodo Ruby arbitrario.
Altri problemi:
- — vulnerabilità del server http integrato a un attacco di risposta HTTP (se il programma inserisce dati non validati nell'intestazione della risposta HTTP, è possibile separare l'intestazione tramite l'inserimento di un carattere di ritorno a capo);
- l'inserimento di un carattere nullo (\0) nei percorsi file verificati attraverso i metodi «File.fnmatch» e «File.fnmatch?» può essere utilizzato per attivare falsamente il controllo;
- — negazione di servizio nel modulo di autenticazione Digest per WEBrick.
Fonte: opennet.ru
