CVE-2019-16255: Lỗ hổng chèn mã trong Shell#[] và Shell#test

Đăng bởi mame vào 1 Oct 2019

Một lỗ hổng chèn mã của Shell#[] và Shell#test trong thư viện chuẩn (lib/shell.rb) đã được phát hiện. Lỗ hổng này đã được gán mã định danh CVE CVE-2019-16255.

Chi tiết

Shell#[] và bí danh của nó Shell#test được định nghĩa trong lib/shell.rb cho phép chèn mã nếu tham số đầu tiên (hay còn gọi là tham số “command”) là dữ liệu không tin cậy. Kẻ tấn công có thể khai thác điều này để gọi một phương thức Ruby tùy ý.

Lưu ý rằng việc truyền dữ liệu không tin cậy vào các phương thức của Shell nói chung là nguy hiểm. Người dùng không bao giờ nên làm điều đó. Tuy nhiên, chúng tôi xử lý trường hợp cụ thể này như một lỗ hổng vì mục đích của Shell#[] và Shell#test được coi là kiểm tra tệp.

Tất cả người dùng đang chạy phiên bản bị ảnh hưởng nên nâng cấp ngay lập tức.

Phiên bản bị ảnh hưởng

• Tất cả các bản phát hành từ Ruby 2.3 trở về trước
• Dòng Ruby 2.4: Ruby 2.4.7 và trước đó
• Dòng Ruby 2.5: Ruby 2.5.6 và trước đó
• Dòng Ruby 2.6: Ruby 2.6.4 và trước đó
• Ruby 2.7.0-preview1

Ghi nhận

Cảm ơn ooooooo_q đã phát hiện vấn đề này.

Lịch sử

• Được công bố lần đầu vào 2019-10-01 11:00:00 (UTC)
• Sửa lỗi chính tả nhỏ vào 2019-10-05 12:00:00 (UTC)