I-update ang Ruby 2.6.5, 2.5.7 at 2.4.8 na may mga naayos na kahinaan

Ang mga corrective release ng Ruby programming language ay nabuo 2.6.5, 2.5.7 и 2.4.8, na nag-ayos ng apat na kahinaan. Ang pinaka-mapanganib na kahinaan (CVE-2019-16255) sa karaniwang library Talukap ng alimango (lib/shell.rb), na ay nagbibigay-daan sa magsagawa ng pagpapalit ng code. Kung ang data na natanggap mula sa user ay naproseso sa unang argumento ng Shell#[] o Shell#test na mga pamamaraan na ginamit upang suriin ang presensya ng isang file, ang isang attacker ay maaaring maging sanhi ng isang arbitrary na paraan ng Ruby na tawagan.

Iba pang mga problema:

• CVE-2019-16254 - pagkakalantad sa built-in na http server WEBrick HTTP response splitting attack (kung ang isang program ay nagpasok ng hindi na-verify na data sa HTTP response header, maaaring hatiin ang header sa pamamagitan ng paglalagay ng newline na character);
• CVE-2019-15845 pagpapalit ng null character (\0) sa mga nasuri sa pamamagitan ng mga pamamaraang “File.fnmatch” at “File.fnmatch?”. maaaring gamitin ang mga path ng file upang ma-trigger ang check;
• CVE-2019-16201 — pagtanggi ng serbisyo sa module ng pagpapatunay ng Diges para sa WEBrick.

Pinagmulan: opennet.ru