ອັບເດດ Ruby 2.6.5, 2.5.7 ແລະ 2.4.8 ດ້ວຍການແກ້ໄຂຊ່ອງໂຫວ່

Сформированы корректирующие релизы языка программирования Ruby 2.6.5, 2.5.7 и 2.4.8, в которых устранены четыре уязвимости. Наиболее опасная уязвимость (CVE-2019-16255) в стандартной библиотеке Shell (lib/shell.rb), которая ອະນຸຍາດ осуществить подстановку кода. В случае обработки полученных от пользователя данных в первом аргументе методов Shell#[] или Shell#test, используемых для проверки наличия файла, атакующий может добиться вызова произвольного Ruby-метода.

ບັນຫາອື່ນໆ:

• CVE-2019-16254 — подверженность встроенного http-сервера WEBrick атаке по разделению ответов HTTP (если программа подставляет непроверенные данные в HTTP-заголовок ответа, то через вставку символа перевода строки можно разделить заголовок);
• CVE-2019-15845 подстановка нулевого символа (\0) в проверяемые через методы «File.fnmatch» и «File.fnmatch?» файловые пути, может быть использована для ложного срабатывания проверки;
• CVE-2019-16201 — отказ в обслуживании в модуле Diges-аутентификации для WEBrick.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru