Boli vytvorené opravy programovacieho jazyka Ruby 3.0.1, 2.7.3, 2.6.7 a 2.5.9, v ktorých boli odstránené dve zraniteľnosti:
- CVE-2021-28965 — zraniteľnosť vo vstavanom module REXML, ktorá pri spracovaní a serializácii špeciálne koncipovaného XML dokumentu môže viesť k vytvoreniu nesprávneho XML dokumentu, ktorého štruktúra sa nezhoduje s originálom. Nebezpečenstvo zraniteľnosti závisí od kontextu, ale nie je vylúčené, že môže spôsobiť útoky na niektoré aplikácie, ktoré používajú REXML.
- CVE-2021-28966 — zraniteľnosť špecifická pre platformu Windows, ktorá umožňuje vytvoriť ľubovoľný adresár alebo súbor v častiach súborového systému, kde je povolené zapisovanie pre používateľa, pod ktorým proces Ruby beží. Problém je spôsobený nesprávnym spracovaním prefixu v metóde Dir.mktmpdir, kde nie je vylúčené použitie konštrukcií typu "..\\". Na útok je potrebné, aby proces používal externé dáta pri formulovaní hodnoty prefixu.
Zdroj: opennet.ru
