ื ืงืจืืืืฉ ืืืึทืื ืขืจืึทืืืืืื (CVE-2022-29176) ืืื ืืืืขื ืึทืคืืื ืืื ืื RubyGems.org ืคึผืขืงื ืจืืคึผืึทืืึทืืึธืจื, ืืืึธืก ืึทืืึทืื, ืึธื ืืขืืขืจืืง ืืืืืึธืจืืืขื, ืฆื ืคืึทืจืืืึทืื ืขืืืขืืข ืื ืืขืจืข ืืขื ืืฉื ืก ืคึผืึทืงืึทืืืฉืึทื ืืื ืื ืจืืคึผืึทืืึทืืึธืจื ืืืจื ืื ืืฉืืืืืื ื ืึท ืืึทื ืง ืคืื ืึท ืืึทืืืฉืืืึทืืึทื ืคึผืขืงื ืืื ืืึธืืืื ื ืืื ืืืื ืึธืจื ืื ืื ืืขืจ ืืขืงืข ืืื ืื ืืขืืืข ื ืึธืืขื ืืื ืืืขืจืกืืข ื ืืืขืจ.
ืฆื ืืฆืืื ื ืืฆื ืื ืืืึทืื ืขืจืึทืืืืืื, ืืจืื ืืืืื ืืื ืืขื ืืืื ืืืื ืืืืขืื ื:
- ืื ืืึทืคืึทืื ืงืขื ืขื ืืืื ืืืจืืืขืงืึธืื ืืืืื ืืืืฃ ืคึผืึทืงืึทืฅ ืืืึธืก ืืึธืื ืึท ืืืคืขื ืืื ืืืืขืจ ื ืึธืืขื.
- ืึท ืึทืืึทืงืขืจ ืืืื ืงืขื ืขื ืฉืืขืื ืึท ืืืืืฉืืืื ืคึผืขืงื ืืื ืึท ืืืื ืคืื ืืขื ื ืึธืืขื ืืืืืขืจ ืื ืืืคืึธื ืข ืืึทืจืึทืงืืขืจ. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืืื ืื ืืึทืคืึทืื ืืื ืืืืฃ ืื "rails-html-sanitizer" ืคึผืขืงื, ืืขืจ ืึทืืึทืงืขืจ ืืืื ืฉืืขืื ืืืื ืืืืืขื ืข "rails-html" ืคึผืขืงื ืืื ืื ืจืืคึผืึทืืึทืืึธืจื.
- ืืขืจ ืคึผืขืงื ืืืึธืก ืืื ืึทืืึทืงืืจื ืืืื ืืืื ืืืฉืืคื ืืื ืื ืืขืฆืืข 30 ืืขื ืึธืืขืจ ื ืืฉื ืืขืจืืืึทื ืืืงื ืคึฟืึทืจ 100 ืืขื.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืืขืคึฟืืจื ืืืจื ืึท ืืขืืช ืืื ืื "ืืึทื ืง" ืงืึทืืฃ ืืึทื ืืืขืจ, ืืืึธืก ืื ืืขืจืคึผืจืึทืฅ ืืขืจ ืืืื ืคืื ืืขื ื ืึธืืขื ื ืึธื ืื ืืืคืึทื ืืื ืืขืจ ื ืึธืืขื ืคืื ืื ืคึผืืึทืืคืึธืจืืข, ืืืึธืก ืืขืืืื ืขืก ืืขืืืขื ืฆื ืึธื ืืืืื ืื ืืืืืฉืึทื ืคืื ืคืจืขืื ืคึผืึทืงืึทืืืฉืึทื ืืืึธืก ืืืืึทืื ืืขื ืืืื ืคืื ืื ื ืึธืืขื. ืคืืจื ืืงืฃ. ืืื ืืึทืืื ืืขืจ, ืืื ืื "ืืึทื ืง" ืืึทื ืืืขืจ ืงืึธื, ืื 'find_by!(full_name: "#{rubygem.name}-#{slug}")" ืจืืฃ ืืื ืืขื ืืฆื ืฆื ืืขืคึฟืื ืขื ืคึผืึทืงืึทืืืฉืึทื, ืืฉืขืช ืื "ืกืืื" ืคึผืึทืจืึทืืขืืขืจ ืืื ืืืจืืืขืืื ืืขื ืืืจื ืื ืคึผืขืงื ืืึทืืืฆืขืจ ืฆื ืืึทืฉืืืกื ืืืขืจืกืืข ืฆื ืืืื ืึทืืืขืงืืขื ืืืขื. ืืขืจ ืืึทืืืฆืขืจ ืคืื ืืขื ืคึผืขืงื "rails-html" ืงืขื ืกืคึผืขืฆืืคืืฆืืจื "sanitizer-1.2.3" ืึทื ืฉืืึธื ืคืื ืืืขืจืกืืข "1.2.3", ืืืึธืก ืืืึธืื ืคืึทืจืฉืึทืคื ืื ืึธืคึผืขืจืึทืฆืืข ืฆื ืืืื ืืขืืืขื ืื ืฆื ืขืืขืฆืขืจ ืึทื ืืขืจืฉ ืก ืคึผืขืงื "rails-html-sanitizer-1.2.3" ".
ืืขืจ ืึทืจืืืกืืขืื ืืื ืืขืืืขื ืืืืขื ืึทืคืืื ืืืจื ืึท ืืืืขืจืืืื ืคืึธืจืฉืขืจ ืืื ืึท ืืืื ืคืื HackerOne ืก ืืจืืืืืึทืจืฆืืงืืื ืคึผืจืึธืืจืึทื ืคึฟืึทืจ ืืขืจืืืืื ื ืืืืขืจืืืื ืืฉืื ืืื ืืึทืืืืกื ืึธืคึฟื ืืงืืจ ืคึผืจืึทืืืฉืขืงืก. ืืขืจ ืคึผืจืึธืืืขื ืืื ืืขืืืขื ืคืึทืจืคืขืกืืืงื ืืื RubyGems.org ืืืืฃ ืืื 5 ืืื ืืืื ืื ืืขืืืขืืึธืคึผืขืจืก, ืืื ืืึธืื ื ืืฉื ื ืึธื ืืืืขื ืึทืคืืื ืงืืื ืืจืึทืกืขืก ืคืื ืขืงืกืคึผืืืืืืืฉืึทื ืคืื ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืื ืืึธืืก ืืื ืื ืืขืฆืืข 18 ืืืฉืื. ืืื ืืขืจ ืืขืืืืงืขืจ ืฆืืื, ืืืืื ืึท ืืืืื ืืืืคืืงืขืจ ืงืึธื ืืจืึธืืืจื ืืื ืืืจืืืขืงืึธืื ืืื ืืืฆื ืืื ืึท ืืขืจ ืืืฃ ืงืึธื ืืจืึธืืืจื ืืื ืคึผืืึทื ื ืขื ืืื ืืขืจ ืฆืืงืื ืคึฟื.
ืฆื ืงืึธื ืืจืึธืืืจื ืืืื ืคึผืจืึทืืืฉืขืงืก, ืขืก ืืื ืจืขืงืึทืืขื ืืื ืฆื ืคืื ืึทื ืืขืจืงืืืึทืื ืื ืืขืฉืืืืข ืคืื โโืึทืคึผืขืจืืืฉืึทื ื ืืื ืื Gemfile.lock ืืขืงืข; ืืืืืข ืืขืืืงืืื ืืื ืืืืกืืขืืจืืงื ืืื ืืขื ืืืึทืืืึทื ืคืื ืขื ืืขืจืื ืืขื ืืื ืื ืคึผืจืขืืขืจืืืืืฉืึทื ืคืื ืื ื ืึธืืขื ืืื ืืืขืจืกืืข ืึธืืขืจ ืึท ืขื ืืขืจืื ื ืคืื ืคึผืืึทืืคืึธืจืืข (ืืืฉื, ืืืขื ืื ืืขืื ืึทืืข -1.2.3 ืคึผืขืงื ืืื ืืขืจืืืึทื ืืืงื ืฆื gemname-1.2.3-java). ืืื ืึท ืืืึธืจืงืึทืจืึธืื ื ืฆื ืืึทืฉืืฆื ืงืขืื ืคืึทืจืืึธืจืื ืคึผืขืงื ืกืึทืืกืืืืืฉืึทื ืืื ืงืขืกืืืืขืจืืืง ืื ืืึทืืจืืืฉืึทื ืกืืกืืขืืขื ืึธืืขืจ ืืืขื ืืจืืืกืืขืื ืคึผืจืึทืืืฉืขืงืก, ืืขืืืขืืึธืคึผืขืจืก ืืขื ืขื ืจืขืงืึทืืขื ืืื ืฆื ื ืืฆื ืืื ืืืขืจ ืืื ืื "-ืคืึทืจืคืจืืืจื" ืึธืืขืจ "-ืืืคึผืืืืืึทื ื" ืึธืคึผืฆืืขืก ืฆื ืคืึทืจืจืืืื ืืืคึผืขื ืืึทื ืกืื.
ืืงืืจ: opennet.ru