Publicado por mame el 2021-11-24
Traducción de vtamara
Una vulnerabilidad de desbordamiento de búfer fue descubierta en CGI.escape_html. A esta vulnerabilidad se le ha asignado el identificador CVE CVE-2021-41816. Recomendamos enfáticamente actualizar Ruby.
Detalles
Una vulnerabilidad de seguridad que causa desbordamientos de búfer cuando
el usuario pasa una cadenas muy grande (> 700MB) a CGI.escape_html en
una plataforma donde el tipo long emplee 4 bytes, tipicamente, Windows.
Por favor actualice la gema cgi a la versión 0.3.1, 0.2.1, y 0.1.1 o posterior.
Puede usar gem update cgi para actualizarla. Si está usando bundler,
por favor añada gem "cgi", ">= 0.3.1" a su archivo Gemfile.
Alternativamente, por favor actualice Ruby a 2.7.5 o a 3.0.3.
Este problema fue introducido desde Ruby 2.7, así que las versiones de cgi incorporadas en Ruby 2.6 no es vulnerable.
Versiones afectadas
- Gema cgi 0.1.0 o anterior (que se distribuyó con la serie Ruby 2.7 antes de Ruby 2.7.5)
- Gema cgi 0.2.0 o anterior (que se distribuyó con la serie Ruby 3.0 antes de Ruby 3.0.3)
- Gema cgi 0.3.0 o anterior
Créditos
Agradecimientos a chamal por descubrir este problema.
Historia
- Publicado originalmente el 2021-11-24 12:00:00 (UTC)