취약점이 수정된 Ruby 2.6.5, 2.5.7, 2.4.8 업데이트

Сформированы корректирующие релизы языка программирования Ruby 2.6.5, 2.5.7 и 2.4.8, в которых устранены четыре уязвимости. Наиболее опасная уязвимость (CVE-2019-16255) в стандартной библиотеке 껍질 (lib/shell.rb), которая 그것은 수 있습니다 осуществить подстановку кода. В случае обработки полученных от пользователя данных в первом аргументе методов Shell#[] или Shell#test, используемых для проверки наличия файла, атакующий может добиться вызова произвольного Ruby-метода.

기타 문제:

• CVE-2019-16254 — подверженность встроенного http-сервера WEBrick атаке по разделению ответов HTTP (если программа подставляет непроверенные данные в HTTP-заголовок ответа, то через вставку символа перевода строки можно разделить заголовок);
• CVE-2019-15845 подстановка нулевого символа (\0) в проверяемые через методы «File.fnmatch» и «File.fnmatch?» файловые пути, может быть использована для ложного срабатывания проверки;
• CVE-2019-16201 — отказ в обслуживании в модуле Diges-аутентификации для WEBrick.

출처 : opennet.ru