CVE-2018-6914: tempfile ve tmpdir'de dizin geçişi ile kasıtsız dosya ve dizin oluşturma

usa tarafından 28.03.2018 tarihinde gönderildi
Çeviri: ismailarilik

Ruby ile gelen tmpdir kütüphanesinde kasıtsız bir dizin oluşturma zaafiyeti vardır. Ayrıca Ruby ile gelen tempfile kütüphanesinde kasıtsız bir dosya oluşturma zaafiyeti vardır, çünkü bu kütüphane kendi içinde tmpdir kütüphanesini kullanmaktadır. Bu zaafiyet şu CVE belirtecine atanmıştır: CVE-2018-6914

Ayrıntılar

tmpdir kütüphanesi tarafından eklenen Dir.mktmpdir metodu, ilk parametre olarak oluşturulan dizinin önek ve sonekini alır. Önek "..\\" gibi göreceli dizin belirteçlerini içerebilir, yani bu metod herhangi bir dizini hedeflemek için kullanılabilir. Yani eğer bir betik bir dış girdiyi önek olarak kabul ederse ve hedeflenen dizin uygun olmayan izinlere sahip ya da ruby işlemi uygun olmayan önceliklere sahipse, saldırgan herhangi bir dizinde bir dizin ya da dosya oluşturabilir.

Etkilenen bir sürüm kullanan tüm kullanıcılar acilen yükseltme yapmalıdır.

Etkilenen Sürümler

• Ruby 2.2 serisi: 2.2.9 ve öncesi
• Ruby 2.3 serisi: 2.3.6 ve öncesi
• Ruby 2.4 serisi: 2.4.3 ve öncesi
• Ruby 2.5 serisi: 2.5.0 ve öncesi
• Ruby 2.6 serisi: 2.6.0-preview1
• trunk revizyonu r62990 öncesi

Teşekkür

Bu zaafiyeti bildirdiği için ooooooo_q‘ya teşekkür ederiz.

Geçmiş

• İlk olarak 2018-03-28 14:00:00 (UTC) tarihinde yayınlanmıştır.