Boli vytvorené opravné verzie programovacieho jazyka Ruby , a , v ktorých boli odstránené štyri zraniteľnosti. Najnebezpečnejšia zraniteľnosť (CVE-2019-16255) v štandardnej knižnici (lib/shell.rb), ktorá umožňuje injekciu kódu. V prípade spracovania údajov od používateľa v prvom argumente metód Shell#[] alebo Shell#test, ktoré sa používajú na kontrolu existencie súboru, môže útočník dosiahnuť vykonanie ľubovoľnej Ruby metódy.
Ďalšie problémy:
- — zraniteľnosť vstavaného http servera útokom cez rozdelenie odpovedí HTTP (ak program vloží neoverené údaje do HTTP hlavičky odpovede, môže pomocou vkladania znaku nového riadka rozdeliť hlavičku);
- vkladanie nulového znaku (\0) do cestičiek súborov overovaných metódami 'File.fnmatch' a 'File.fnmatch?', môže byť použité na falošné spustenie kontroly;
- — odmietnutie služby v module Diges autentifikácie pre WEBrick.
Zdroj: opennet.ru
