CVE-2024-27281: Lỗ hổng thực thi mã từ xa với .rdoc_options trong RDoc

Đăng bởi hsbt vào 21 Mar 2024

Chúng tôi đã phát hành gem RDoc phiên bản 6.3.4.1, 6.4.1.1, 6.5.1.1 và 6.6.3.1 bao gồm bản vá bảo mật cho lỗ hổng thực thi mã từ xa. Lỗ hổng này được gán mã định danh CVE CVE-2024-27281.

Chi tiết

Một vấn đề đã được phát hiện trong RDoc 6.3.3 đến 6.6.2, được phân phối cùng Ruby 3.x đến 3.3.0.

Khi phân tích cú pháp .rdoc_options (được sử dụng để cấu hình trong RDoc) dưới dạng tệp YAML, việc chèn đối tượng và thực thi mã từ xa là có thể xảy ra vì không có giới hạn nào đối với các lớp có thể được khôi phục.

Khi tải bộ nhớ đệm tài liệu, việc chèn đối tượng và thực thi mã từ xa cũng có thể xảy ra nếu có một bộ nhớ đệm được tạo thủ công với mục đích xấu.

Hành động khuyến nghị

Chúng tôi khuyến nghị cập nhật gem RDoc lên phiên bản 6.6.3.1 hoặc mới hơn. Để đảm bảo tương thích với phiên bản đi kèm trong các dòng Ruby cũ hơn, bạn có thể cập nhật như sau:

• Người dùng Ruby 3.0: Cập nhật lên rdoc 6.3.4.1
• Người dùng Ruby 3.1: Cập nhật lên rdoc 6.4.1.1
• Người dùng Ruby 3.2: Cập nhật lên rdoc 6.5.1.1

Bạn có thể sử dụng gem update rdoc để cập nhật. Nếu bạn đang sử dụng bundler, vui lòng thêm gem "rdoc", ">= 6.6.3.1" vào Gemfile của bạn.

Lưu ý: 6.3.4, 6.4.1, 6.5.1 và 6.6.3 có bản sửa lỗi không chính xác. Chúng tôi khuyến nghị nâng cấp lên 6.3.4.1, 6.4.1.1, 6.5.1.1 và 6.6.3.1 thay vì các phiên bản đó.

Phiên bản bị ảnh hưởng

• Ruby 3.0.6 trở xuống
• Ruby 3.1.4 trở xuống
• Ruby 3.2.3 trở xuống
• Ruby 3.3.0
• Gem RDoc 6.3.3 trở xuống, 6.4.0 đến 6.6.2 không bao gồm các phiên bản vá (6.3.4, 6.4.1, 6.5.1)

Ghi nhận

Cảm ơn ooooooo_q đã phát hiện vấn đề này.

Lịch sử

• Công bố lần đầu vào 2024-03-21 4:00:00 (UTC)