Oppdatering av Ruby 3.0.1 med sikkerhetsrettelser

Korrigerende utgivelser for programmeringsspråket Ruby 3.0.1, 2.7.3, 2.6.7 og 2.5.9 er nå tilgjengelige, der to sårbarheter er utbedret:

• CVE-2021-28965 — en sårbarhet i det innebygde REXML-modulet, som under parsing og serialisering av spesialutformede XML-dokumenter kan føre til opprettelse av et ugyldig XML-dokument, der strukturen ikke stemmer overens med originalen. Alvoret av sårbarheten er sterkt kontekstavhengig, men angrep på visse applikasjoner som bruker REXML kan ikke utelukkes.
• CVE-2021-28966 — en plattformspesifikk sårbarhet for Windows som lar en ondsinnet aktør opprette vilkårlige kataloger eller filer på deler av filsystemet der skriving er tillatt for brukeren som kjører Ruby-prosessen. Problemet skyldes feilaktig behandling av prefikset i metoden Dir.mktmpdir, der underinnsetting av konstruksjoner som «..\\» ikke er utelukket. For å utføre et angrep må prosessen bruke eksterne data ved formatering av prefiksverdien.

Kilde: opennet.ru