CVE-2019-16255: Eine Code-Injection-Schwachstelle von Shell#[] und Shell#test

Gepostet von mame am 1. Okt 2019

Eine Code-Injection-Schwachstelle von Shell#[] und Shell#test in einer Standardbibliothek (lib/shell.rb) wurde gefunden. Der Schwachstelle wurde die CVE-ID CVE-2019-16255 zugewiesen.

Details

Shell#[] und sein Alias Shell#test, die in lib/shell.rb definiert sind, ermöglichen Code-Injection, wenn das erste Argument (auch „command“-Argument genannt) unzuverlässige Daten enthält. Ein Angreifer kann dies ausnutzen, um eine beliebige Ruby-Methode aufzurufen.

Beachten Sie, dass die Übergabe unzuverlässiger Daten an Methoden von Shell im Allgemeinen gefährlich ist. Benutzer sollten dies niemals tun. Wir behandeln diesen speziellen Fall jedoch als Schwachstelle, da der Zweck von Shell#[] und Shell#test in der Dateiprüfung liegt.

Alle Benutzer, die eine betroffene Version verwenden, sollten sofort ein Upgrade durchführen.

Betroffene Versionen

• Alle Versionen, die Ruby 2.3 oder früher sind
• Ruby 2.4 Serie: Ruby 2.4.7 oder früher
• Ruby 2.5 Serie: Ruby 2.5.6 oder früher
• Ruby 2.6 Serie: Ruby 2.6.4 oder früher
• Ruby 2.7.0-preview1

Danksagung

Vielen Dank an ooooooo_q für die Entdeckung dieses Problems.

Verlauf

• Ursprünglich veröffentlicht am 2019-10-01 11:00:00 (UTC)
• Kleiner Rechtschreibfehler behoben am 2019-10-05 12:00:00 (UTC)