ะ ัะตะฟะพะทะธัะพัะธะธ ะฟะฐะบะตัะพะฒ RubyGems.org ะฒััะฒะปะตะฝะฐ ะบัะธัะธัะตัะบะฐั ััะทะฒะธะผะพััั (CVE-2022-29176), ะฟะพะทะฒะพะปัััะฐั ะฑะตะท ะฝะฐะปะธัะธั ะดะพะปะถะฝัั ะฟะพะปะฝะพะผะพัะธะน ะฟะพะดะผะตะฝะธัั ะฝะตะบะพัะพััะต ััะถะธะต ะฟะฐะบะตัั ะฒ ัะตะฟะพะทะธัะพัะธะธ ะฟัััะผ ะธะฝะธัะธะธัะพะฒะฐะฝะธั ะธะทัััะธั (yank) ะปะตะณะธัะธะผะฝะพะณะพ ะฟะฐะบะตัะฐ ะธ ะทะฐะณััะทะบะธ ะฒะผะตััะพ ะฝะตะณะพ ะดััะณะพะณะพ ัะฐะนะปะฐ ั ัะตะผ ะถะต ะธะผะตะฝะตะผ ะธ ะฝะพะผะตัะพะผ ะฒะตััะธะธ.
ะะปั ััะฟะตัะฝะพะน ัะบัะฟะปัะฐัะฐัะธะธ ััะทะฒะธะผะพััะธ ะฝะตะพะฑั ะพะดะธะผะพ ะฒัะฟะพะปะฝะตะฝะธั ัััั ััะปะพะฒะธะน:
- ะัะฐะบะฐ ะผะพะถะตั ะฑััั ัะพะฒะตััะตะฝะฐ ัะพะปัะบะพ ะฝะฐ ะฟะฐะบะตัั, ะฒ ะธะผะตะฝะธ ะบะพัะพััั ะธัะฟะพะปัะทัะตััั ัะธะผะฒะพะป ะดะตัะธัะฐ.
- ะัะฐะบัััะธะน ะดะพะปะถะตะฝ ะธะผะตัั ะฒะพะทะผะพะถะฝะพััั ัะฐะทะผะตััะธัั gem-ะฟะฐะบะตั ั ัะฐัััั ะธะผะตะฝะธ ะดะพ ัะธะผะฒะพะปะฐ ะดะตัะธัะฐ. ะะฐะฟัะธะผะตั, ะตัะปะธ ะฐัะฐะบะฐ ะฟัะพะธะทะฒะพะดะธััั ะฝะฐ ะฟะฐะบะตั ยซrails-html-sanitizerยป, ะฐัะฐะบัััะธะน ะดะพะปะถะตะฝ ัะฐะทะผะตััะธัั ะฒ ัะตะฟะพะทะธัะพัะธะธ ัะพะฑััะฒะตะฝะฝัะน ะฟะฐะบะตั ยซrails-htmlยป.
- ะะฐะบะตั, ะฝะฐ ะบะพัะพััะน ัะพะฒะตััะฐะตััั ะฐัะฐะบะฐ, ะดะพะปะถะตะฝ ะฑััั ัะพะทะดะฐะฝ ะฒ ะฟะพัะปะตะดะฝะธะต 30 ะดะฝะตะน ะธะปะธ ะฝะต ะพะฑะฝะพะฒะปััััั ะฒ ัะตัะตะฝะธะต 100 ะดะฝะตะน.
ะฃัะทะฒะธะผะพััั ะฒัะทะฒะฐะฝะฐ ะพัะธะฑะบะพะน ะฒ ะพะฑัะฐะฑะพััะธะบะต ะดะตะนััะฒะธั ยซyankยป, ััะฐะบััััะตะณะพ ัะฐััั ะธะผะตะฝะธ ะฟะพัะปะต ะดะตัะธัะฐ ะบะฐะบ ะฝะฐะทะฒะฐะฝะธะต ะฟะปะฐััะพัะผั, ััะพ ะฟะพะทะฒะพะปัะปะพ ะธะฝะธัะธะธัะพะฒะฐัั ัะดะฐะปะตะฝะธะต ััะถะธั ะฟะฐะบะตัะพะฒ, ัะพะฒะฟะฐะดะฐััะธั ะฒ ัะฐััะธ ะธะผะตะฝะธ ะดะพ ัะธะผะฒะพะปะฐ ะดะตัะธัะฐ. ะ ัะฐััะฝะพััะธ, ะฒ ะบะพะดะต ะพะฑัะฐะฑะพััะธะบะฐ ะพะฟะตัะฐัะธะธ ยซyankยป ะดะปั ะฟะพะธัะบะฐ ะฟะฐะบะตัะพะฒ ะธัะฟะพะปัะทะพะฒะฐะปัั ะฒัะทะพะฒ โfind_by!(full_name: ยซ#{rubygem.name}-#{slug}ยป)โ, ะฟัะธ ัะพะผ, ััะพ ะฟะฐัะฐะผะตัั ยซslugยป ะฟะตัะตะดะฐะฒะฐะปัั ะฒะปะฐะดะตะปััะตะผ ะฟะฐะบะตัะฐ ะดะปั ะพะฟัะตะดะตะปะตะฝะธั ัะดะฐะปัะตะผะพะน ะฒะตััะธะธ. ะะปะฐะดะตะปะตั ะฟะฐะบะตัะฐ ยซrails-htmlยป ะฒะผะตััะพ ะฒะตััะธะธ ยซ1.2.3ยป ะผะพะณ ัะบะฐะทะฐัั ยซsanitizer-1.2.3ยป, ััะพ ะฟัะธะฒะตะปะพ ะฑั ะบ ะฟัะธะผะตะฝะตะฝะธั ะพะฟะตัะฐัะธะธ ะบ ััะถะพะผั ะฟะฐะบะตัั ยซrails-html-sanitizer-1.2.3ยป.
ะัะพะฑะปะตะผะฐ ะฑัะปะฐ ะฒััะฒะปะตะฝะฐ ะธััะปะตะดะพะฒะฐัะตะปะตะผ ะฑะตะทะพะฟะฐัะฝะพััะธ ะฒ ัะฐะผะบะฐั ะดะตะนััะฒัััะตะน ะฝะฐ HackerOne ะฟัะพะณัะฐะผะผั ะฒัะฟะปะฐัั ะฒะพะทะฝะฐะณัะฐะถะดะตะฝะธะน ะทะฐ ะฟะพะธัะบ ะฟัะพะฑะปะตะผ ั ะฑะตะทะพะฟะฐัะฝะพัััั ะฒ ะธะทะฒะตััะฝัั ะพัะบััััั ะฟัะพะตะบัะฐั . ะัะพะฑะปะตะผะฐ ััััะฐะฝะตะฝะฐ ะฒ RubyGems.org 5 ะผะฐั ะธ ะฟะพ ะทะฐัะฒะปะตะฝะธั ัะฐะทัะฐะฑะพััะธะบะพะฒ ะพะฝะธ ะฟะพะบะฐ ะฝะต ะฒััะฒะธะปะธ ัะปะตะดะพะฒ ัะบัะฟะปัะฐัะฐัะธะธ ััะทะฒะธะผะพััะธ ะฒ ะปะพะณะฐั ะทะฐ ะฟะพัะปะตะดะฝะธะต 18 ะผะตัััะตะฒ. ะัะธ ััะพะผ ะฟะพะบะฐ ะฟัะพะฒะตะดัะฝ ะปะธัั ะฟะพะฒะตัั ะฝะพััะฝัะน ะฐัะดะธั ะธ ะฒ ะดะฐะปัะฝะตะนัะตะผ ะฟะปะฐะฝะธััะตััั ะฟัะพะฒะตะดะตะฝะธะต ะฑะพะปะตะต ะณะปัะฑะพะบะพะน ะฟัะพะฒะตัะบะธ.
ะะปั ะฟัะพะฒะตัะบะธ ัะฒะพะธั
ะฟัะพะตะบัะพะฒ ัะตะบะพะผะตะฝะดัะตััั ะฟัะพะฐะฝะฐะปะธะทะธัะพะฒะฐัั ะธััะพัะธั ะพะฟะตัะฐัะธะน ะฒ ัะฐะนะปะต Gemfile.lock, ะฒัะตะดะพะฝะพัะฝะฐั ะฐะบัะธะฒะฝะพััั ะฒััะฐะถะฐะตััั ะฒ ะฝะฐะปะธัะธะธ ะธะทะผะตะฝะตะฝะธะน ั ัะพั
ัะฐะฝะตะฝะธะตะผ ะธะผะตะฝะธ ะธ ะฒะตััะธะธ ะธะปะธ ัะผะตะฝะพะน ะฟะปะฐััะพัะผั (ะฝะฐะฟัะธะผะตั, ะบะพะณะดะฐ ะฟะฐะบั gemname-1.2.3 ะพะฑะฝะพะฒะปัะฝ ะดะพ gemname-1.2.3-java). ะ ะบะฐัะตััะฒะต ะพะฑั
ะพะดะฝะพะณะพ ะผะตัะพะดะฐ ะทะฐัะธัั ะพั ัะบัััะพะน ะฟะพะดะผะตะฝั ะฟะฐะบะตัะพะฒ ะฒ ัะธััะตะผะฐั
ะฝะตะฟัะตััะฒะฝะพะน ะธะฝัะตะณัะฐัะธะธ ะธะปะธ ะฟัะธ ะฟัะฑะปะธะบะฐัะธะธ ะฟัะพะตะบัะพะฒ ัะฐะทัะฐะฑะพััะธะบะฐะผ ัะตะบะพะผะตะฝะดะพะฒะฐะฝะพ ะธัะฟะพะปัะทะพะฒะฐัั Bundler ั ะพะฟัะธัะผะธ ยซโfrozenยป ะธะปะธ ยซโdeploymentยป ะดะปั ัะธะบัะฐัะธะธ ะทะฐะฒะธัะธะผะพััะตะน.
เปเบซเบผเปเบเบเปเปเบกเบนเบ: opennet.ru