Er zijn correcties vrijgegeven voor de programmeertaal Ruby 3.0.1, 2.7.3, 2.6.7 en 2.5.9, waarin twee kwetsbaarheden zijn verholpen:
- CVE-2021-28965 — een kwetsbaarheid in de ingebouwde REXML-module, die bij het parseren en serialiseren van speciaal samengestelde XML-documenten kan leiden tot de creatie van een ongeldig XML-document waarvan de structuur niet overeenkomt met het origineel. De ernst van de kwetsbaarheid hangt sterk af van de context, maar aanvallen op bepaalde toepassingen die REXML gebruiken zijn niet uitgesloten.
- CVE-2021-28966 — een kwetsbaarheid die specifiek is voor Windows, waardoor een ongewenste map of bestand kan worden aangemaakt in delen van het bestandssysteem waar de gebruiker, onder wiens recht het Ruby-proces draait, schrijfpermissies heeft. Het probleem wordt veroorzaakt door onjuiste verwerking van het voorvoegsel in de methode Dir.mktmpdir, waarin constructies zoals «..\\» niet worden uitgesloten. Voor een aanval moet het proces externe gegevens gebruiken bij het samenstellen van de waarde van het voorvoegsel.
Bron: opennet.ru
