Correctieve releases van de programmeertaal Ruby zijn gevormd , en , waarin vier kwetsbaarheden zijn verholpen. De meest gevaarlijke kwetsbaarheid (CVE-2019-16255) in de standaardbibliotheek (lib/shell.rb), die code-injectie mogelijk maakt. Bij het verwerken van gegevens van gebruiker in de eerste parameter van de methoden Shell#[] of Shell#test, die worden gebruikt om de aanwezigheid van een bestand te controleren, kan een aanvaller een willekeurige Ruby-methode aanroepen.
Andere problemen:
- — kwetsbaarheid van de ingebouwde http-server aan een HTTP response splitting aanval (indien het programma ongecontroleerde gegevens in de HTTP-responsheader invoegt, kan de header worden gesplitst door een newline-teken in te voegen);
- invoegen van een null-teken (\0) in bestandsnamen die worden gecontroleerd door de methoden 'File.fnmatch' en 'File.fnmatch?', kan worden gebruikt voor valse positieven bij de controle;
- — denial of service in de Diges-authenticatiemodule voor WEBrick.
Bron: opennet.ru
