Escrito por mame em 22/11/2022
Traduzido por guicruzzs
Nós lançamos as versões da gem cgi 0.3.5, 0.2.2, e 0.1.0.2 que possuem uma correção de segurança para uma vulnerabilidade de HTTP response splitting. Essa vulnerabilidade foi atribuída ao identificador CVE-2021-33621.
Detalhes
Se uma aplicação que gera respostas HTTP usando a gem cgi com uma entrada de dados não confiável do usuário, um atacante pode explorá-la injetando um body e/ou header malicioso na resposta HTTP.
Também, os conteúdos de um objeto CGI::Cookie não eram verificados apropriadamente. Se uma aplicação cria um objeto CGI::Cookie baseado nos dados de entrada do usuário, um atacante pode explorá-lo para injetar atributos inválidos no cabeçalho Set-Cookie. Nós achamos tais aplicações indesejadas, mas incluímos uma alteração para verificar os argumentos em CGI::Cookie#initialize preventivamente.
Por favor atualize a gem cgi para as versões 0.3.5, 0.2.2, e 0.1.0.2, ou maiores. Você pode usar gem update cgi para atualizá-la.
Se você está usando o bundler, por favor adicione gem "cgi", ">= 0.3.5" ao seu Gemfile.
Versões afetadas
- gem cgi 0.3.3 ou anteriores
- gem cgi 0.2.1 ou anteriores
- gem cgi 0.1.1 ou 0.1.0.1 ou 0.1.0
Créditos
Obrigado ao Hiroshi Tokumaru por descobrir essa issue.
Histórico
- Originalmente publicado em 2022-11-22 02:00:00 (UTC)