អាប់ដេត Ruby 3.0.1 ជាមួយនឹងភាពងាយរងគ្រោះត្រូវបានជួសជុល

ការចេញផ្សាយការកែតម្រូវនៃភាសាកម្មវិធី Ruby 3.0.1, 2.7.3, 2.6.7 និង 2.5.9 ត្រូវបានបង្កើតឡើង ដែលក្នុងនោះភាពងាយរងគ្រោះចំនួនពីរត្រូវបានលុបចោល៖

• CVE-2021-28965 គឺជាភាពងាយរងគ្រោះនៅក្នុងម៉ូឌុល REXML ដែលភ្ជាប់មកជាមួយ ដែលនៅពេលញែក និងសៀរៀលឯកសារ XML ដែលបានធ្វើទ្រង់ទ្រាយពិសេស អាចនាំទៅដល់ការបង្កើតឯកសារ XML មិនត្រឹមត្រូវ ដែលរចនាសម្ព័ន្ធរបស់វាមិនត្រូវគ្នានឹងដើម។ ភាពធ្ងន់ធ្ងរនៃភាពងាយរងគ្រោះអាស្រ័យយ៉ាងខ្លាំងទៅលើបរិបទ ប៉ុន្តែការវាយប្រហារប្រឆាំងនឹងកម្មវិធីមួយចំនួនដែលប្រើ REXML មិនអាចបដិសេធបានទេ។
• CVE-2021-28966 គឺជាភាពងាយរងគ្រោះជាក់លាក់របស់ប្រព័ន្ធប្រតិបត្តិការ Windows ដែលអនុញ្ញាតឱ្យបង្កើតថតឯកសារ ឬឯកសារដែលបំពាននៅក្នុងផ្នែកនៃប្រព័ន្ធឯកសារដែលអាចសរសេរបានដោយអ្នកប្រើប្រាស់ដែលមានសិទ្ធិដែលដំណើរការ Ruby កំពុងដំណើរការ។ បញ្ហាគឺបណ្តាលមកពីដំណើរការមិនត្រឹមត្រូវនៃបុព្វបទនៅក្នុងវិធីសាស្ត្រ Dir.mktmpdir ដែលមិនរាប់បញ្ចូលការជំនួសសំណង់ដូចជា “..\\” ទេ។ ដើម្បីវាយប្រហារ ដំណើរការត្រូវតែប្រើទិន្នន័យខាងក្រៅនៅពេលបង្កើតតម្លៃបុព្វបទ។

ប្រភព: opennet.ru