Detalji

U radu programskog paketa Ruby uočeni su višestruki sigurnosni propusti koje zlonamjerni korisnik može iskoristiti za izvođenje DoS napada (rušenje aplikacije), pokretanje proizvoljnog programskog koda, izvođenje XSS napada te izmjenu proizvoljnih znakovnih nizova.

Paket: ruby 1.x
Operacijski sustavi: CentOS , Red Hat Enterprise Linux 5
Kritičnost: 5.3
Problem: neodgovarajuće rukovanje memorijom, pogreška u programskoj komponenti, XSS
Iskorištavanje: lokalno/udaljeno
Posljedica: izmjena podataka, proizvoljno izvršavanje programskog koda, umetanje HTML i skriptnog koda, uskraćivanje usluga (DoS)
Rješenje: programska zakrpa proizvođača
CVE: CVE-2011-0188, CVE-2011-1004, CVE-2009-4492, CVE-2010-0541, CVE-2011-1005
Izvorni ID preporuke: 2011:0909
Izvor: CentOS
 
Problem:
Propusti su posljedica nepravilnosti prilikom dodjeljivanja memorije na 64-bitnim sustavima kad se koristi BigDecimal klasa, tzv. "race" uvjeta u "FileUtils" modulu, pogreške u radu WEBrick alata te XSS ranjvosti.
Posljedica:
Napadaču propusti omogućuju izvođenje DoS i XSS napada, pokretanje proizvoljnog programskog koda te izmjenu pojedinih podataka.
Rješenje:
Korisnicima ranjivog paketa preporuča se instalacija sigurnosnih zakrpa.

Izvorni tekst preporuke
Idi na vrh