Uppdatering av Ruby 2.6.5, 2.5.7 och 2.4.8 med åtgärder mot sårbarheter

Korrigerande utgåvor av programspråket Ruby har skapats 2.6.5, 2.5.7 och 2.4.8, där fyra sårbarheter har åtgärdats. Den farligaste sårbarheten (CVE-2019-16255) i standardbiblioteket Shell (lib/shell.rb), som möjliggör möjliggör kodinjektion. Vid hantering av data från användaren i det första argumentet av metoderna Shell#[] eller Shell#test, som används för att kontrollera om en fil finns, kan en angripare åstadkomma anrop av godtyckliga Ruby-metoder.

Andra problem:

• CVE-2019-16254 — sårbarhet hos den inbyggda http-servern WEBrick för attacken mot HTTP-responsdelning (om programmet använder osäkrade data i HTTP-responsens rubrik, kan en radbrytning användas för att dela upp rubriken);
• CVE-2019-15845 injektion av nolltecken (\0) i sökvägar som kontrolleras med metoderna "File.fnmatch" och "File.fnmatch?" kan användas för falska positiva resultat;
• CVE-2019-16201 — tjänsteavbrott i Diges-autentiseringmodulen för WEBrick.

Källa: opennet.ru