CVE-2018-6914: Unbeabsichtigte Erstellung von Dateien und Verzeichnissen durch Directory Traversal in tempfile und tmpdir

Gepostet von usa am 28. März 2018

Es gibt eine unbeabsichtigte Verzeichniserstellungs-Schwachstelle in der mit Ruby gebündelten tmpdir-Bibliothek. Und es gibt auch eine unbeabsichtigte Dateierstellungs-Schwachstelle in der tempfile-Bibliothek, da sie intern tmpdir verwendet. Diese Schwachstelle wurde unter der CVE-Kennung CVE-2018-6914 zugewiesen.

Details

Dir.mktmpdir Die von der tmpdir-Bibliothek eingeführte Methode akzeptiert das Präfix und das Suffix des zu erstellenden Verzeichnisses als ersten Parameter. Das Präfix kann relative Verzeichnisspezifizierer "../" enthalten, sodass diese Methode verwendet werden kann, um auf jedes Verzeichnis zu zielen. Wenn also ein Skript eine externe Eingabe als Präfix akzeptiert und das Zielverzeichnis unangemessene Berechtigungen hat oder der Ruby-Prozess unangemessene Berechtigungen hat, kann ein Angreifer ein Verzeichnis oder eine Datei in jedem Verzeichnis erstellen.

Alle Benutzer, die eine betroffene Version verwenden, sollten sofort ein Upgrade durchführen.

Betroffene Versionen

• Ruby 2.2-Serie: 2.2.9 und früher
• Ruby 2.3-Serie: 2.3.6 und früher
• Ruby 2.4-Serie: 2.4.3 und früher
• Ruby 2.5-Serie: 2.5.0 und früher
• Ruby 2.6-Serie: 2.6.0-preview1
• vor Trunk-Revision r62990

Danksagung

Vielen Dank an ooooooo_q für die Meldung des Problems.

Verlauf

• Ursprünglich veröffentlicht am 28.03.2018 14:00:00 (UTC)