Geschrieben von usa am 28.3.2018
Übersetzt von Marvin Gülker
Einige Methoden in Dir tasten ungewollt Verzeichnisse ab. Diese
Sicherheitslücke wird unter der CVE-Nummer
CVE-2018-8780
geführt.
Details
Dir.open, Dir.new, Dir.entries und Dir.empty? nehmen als
Parameter den Pfad zum Zielverzeichnis entgegen. Enthält dieser
Parameter ein NUL-Byte (\0), dann meinen diese Methoden, dass der
Pfad vor dem NUL-Byte zu Ende ist. Wenn ein Skript daher externe
Eingaben als Argument für diese Methoden benutzt, kann ein Angreifer
dies ausnutzen, um ungewollt Verzeichnisse zu untersuchen (Directory
Traversal).
Alle Nutzer betroffener Versionen sollten umgehend aktualisieren.
Betroffene Versionen
- Ruby 2.2er-Serie: 2.2.9 und früher
- Ruby 2.3er-Serie: 2.3.6 und früher
- Ruby 2.4er-Serie: 2.4.3 und früher
- Ruby 2.5er-Serie: 2.5.0 und früher
- Ruby 2.6er-Serie: 2.6.0-preview1
- Trunk vor Revision r62989
Credit
Dank geht an ooooooo_q, der den Fehler gemeldet hat.
Historie
- Erstveröffentlicht am 2018-03-28 14:00:00 (UTC)