रुबी 3.0.1 असुरक्षा निश्चित केलेले अपडेट

रुबी प्रोग्रामिंग भाषा 3.0.1, 2.7.3, 2.6.7 आणि 2.5.9 चे सुधारात्मक प्रकाशन तयार केले गेले आहेत, ज्यामध्ये दोन असुरक्षा दूर केल्या आहेत:

• CVE-2021-28965 ही अंगभूत REXML मॉड्युलमधील एक भेद्यता आहे, जी, विशेष स्वरूपित XML दस्तऐवजाचे पार्सिंग आणि अनुक्रमांक करताना, एक चुकीचा XML दस्तऐवज तयार करू शकतो ज्याची रचना मूळशी जुळत नाही. असुरक्षिततेची तीव्रता संदर्भावर खूप अवलंबून असते, परंतु REXML वापरणार्‍या काही ऍप्लिकेशन्सवर हल्ले होण्याची शक्यता नाकारता येत नाही.
• CVE-2021-28966 ही Windows प्लॅटफॉर्म-विशिष्ट भेद्यता आहे जी फाइल सिस्टमच्या काही भागांमध्ये अनियंत्रित निर्देशिका किंवा फाइल तयार करण्यास अनुमती देते जी वापरकर्त्याद्वारे लिहिण्यायोग्य आहे ज्यांच्या अधिकारांसह Ruby प्रक्रिया चालू आहे. Dir.mktmpdir पद्धतीमधील उपसर्गाच्या चुकीच्या प्रक्रियेमुळे समस्या उद्भवली आहे, जे “..\\” सारख्या बांधकामांच्या प्रतिस्थापनाला वगळत नाही. आक्रमण करण्यासाठी, उपसर्ग मूल्य व्युत्पन्न करताना प्रक्रियेने बाह्य डेटा वापरणे आवश्यक आहे.

स्त्रोत: opennet.ru