Nganyari Ruby 2.6.5, 2.5.7 lan 2.4.8 kanthi kerentanan tetep

Rilis korektif saka basa pamrograman Ruby wis digawe 2.6.5, 2.5.7 и 2.4.8, sing ndandani papat kerentanan. Kerentanan paling mbebayani (CVE-2019-16255) ing perpustakaan standar Shell (lib/shell.rb), kang Nanging ngidini nindakake substitusi kode. Yen data sing ditampa saka pangguna diproses ing argumentasi pisanan saka Shell#[] utawa Shell#metode tes sing digunakake kanggo mriksa anane file, panyerang bisa nyebabake metode Ruby sing sewenang-wenang diarani.

Masalah liyane:

• CVE-2019-16254 - cahya kanggo server http dibangun ing WEBrick Serangan pamisah respon HTTP (yen program nglebokake data sing durung diverifikasi menyang header respon HTTP, banjur header bisa dipérang kanthi nglebokake karakter baris anyar);
• CVE-2019-15845 substitusi saka karakter null (\0) menyang sing dicenthang liwat "File.fnmatch" lan "File.fnmatch?"Metode. path file bisa digunakake kanggo salah micu mriksa;
• CVE-2019-16201 - nolak layanan ing modul otentikasi Diges kanggo WEBrick.

Source: opennet.ru