Zasnovane so popravkovni izdaji programskega jezika Ruby 3.0.1, 2.7.3, 2.6.7 in 2.5.9, ki odpravljajo dve ranljivosti:
- CVE-2021-28965 — ranljivost v vgrajenem modulu REXML, ki pri obdelavi in serilizaciji posebej oblikovanega XML-dokumenta lahko privede do nastanka neveljavnega XML-dokumenta, katerega struktura se ne ujema z izvirnikom. Neposredna nevarnost ranljivosti je zelo odvisna od konteksta, vendar ni izključena možnost napadov na nekatere aplikacije, ki uporabljajo REXML.
- CVE-2021-28966 — ranljivost, specifična za platformo Windows, ki omogoča ustvarjanje poljubnega imenika ali datoteke v delih datotečnega sistema, kjer je zapis dovoljen za uporabnika, pod katerim se izvaja proces Ruby. Problem izhaja iz nepravilne obdelave predpone v metodi Dir.mktmpdir, kjer ne izključujemo substitucij takšnih konstrukcij kot '...\'. Za napad mora proces uporabiti zunanje podatke pri oblikovanju vrednosti predpone.
Izvor: opennet.ru
