Potrivit The Hacker News, Ruby a lansat versiunile 4.0.9, 3.4.12 și 3.3.13 pentru a remedia trei defecte din Onigmo, motorul de expresii regulate integrat în limbaj. Aceste erori stau la baza a patru vulnerabilități critice de execuție de cod pe care GitLab le-a reparat în ultimul month.
GitLab a constatat că un model special conceput poate corupta memoria în timp ce Ruby-ul o compilează, ceea ce ar putea duce la execuția de cod pe propriii săi servere. Sunt afectate aplicațiile care construiesc expresii regulate din text controlat de atacatori, nu doar GitLab. Riscul apare când un program transmite un șir neîncrezător către Regexp.new, Regexp.union, Regexp.compile sau îl plasează printr-o interpolare cum ar fi /#{input}/.
Ruby 3.2 și versiunile anterioare nu vor primi corecții. Compania recomandă utilizatorilor să migreze la versiunile 3.4 sau 4.0. Pentru cei care nu pot face upgrade imediat, soluția temporară constă în stoparea compilării expresiilor regulate din surse nesigure. Cercetătorul joaxcar a raportat toate patru vulnerabilități prin programul de bug bounty al GitLab între 23 septembrie și 21 octombrie.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
