Ажурирање на Ruby 3.0.1 со поправени пропусти

Генерирани се корективни изданија на програмскиот јазик Ruby 3.0.1, 2.7.3, 2.6.7 и 2.5.9, во кои се елиминирани две пропусти:

• CVE-2021-28965 е ранливост во вградениот REXML модул, кој, при парсирање и серијација на специјално форматиран XML документ, може да доведе до создавање на неточен XML документ чија структура не се совпаѓа со оригиналот. Тежината на ранливоста во голема мера зависи од контекстот, но нападите против некои апликации што користат REXML не можат да се исклучат.
• CVE-2021-28966 е ранливост специфична за платформата на Windows која овозможува создавање произволен директориум или датотека во делови од датотечниот систем што се запишуваат од корисникот со чии права се извршува Ruby процесот. Проблемот е предизвикан од неправилна обработка на префиксот во методот Dir.mktmpdir, што не исклучува замена на конструкции како „..\\“. За напад, процесот мора да користи надворешни податоци кога ја генерира вредноста на префиксот.

Извор: opennet.ru