Sasisha Ruby 2.6.5, 2.5.7 na 2.4.8 na udhaifu umewekwa

Matoleo sahihi ya lugha ya programu ya Ruby yametolewa 2.6.5, 2.5.7 и 2.4.8, ambayo ilirekebisha udhaifu nne. Athari hatari zaidi (CVE-2019-16255) katika maktaba ya kawaida Shell (lib/shell.rb), ambayo inaruhusu kufanya ubadilishaji wa kanuni. Ikiwa data iliyopokelewa kutoka kwa mtumiaji itachakatwa katika hoja ya kwanza ya Shell#[] au Shell#test mbinu zinazotumiwa kuangalia uwepo wa faili, mshambulizi anaweza kusababisha mbinu ya Ruby kuitwa kiholela.

Matatizo mengine:

• CVE-2019-16254 - yatokanayo na seva ya http iliyojengwa WEBrick Shambulio la kugawanya majibu ya HTTP (ikiwa programu itaingiza data ambayo haijathibitishwa kwenye kichwa cha majibu ya HTTP, basi kichwa kinaweza kugawanywa kwa kuingiza herufi mpya);
• CVE-2019-15845 uingizwaji wa herufi batili (\0) kwa zile zilizoteuliwa kupitia mbinu za “File.fnmatch” na “File.fnmatch?”. njia za faili zinaweza kutumika kwa uongo kusababisha hundi;
• CVE-2019-16201 - kunyimwa huduma katika moduli ya uthibitishaji wa Diges ya WEBrick.

Chanzo: opennet.ru