CVE-2021-41816: Buffer Overrun in CGI.escape_html

Gepostet von mame am 24. Nov 2021

Es wurde eine Pufferüberlauf-Schwachstelle in CGI.escape_html entdeckt. Diese Schwachstelle hat die CVE-Kennung CVE-2021-41816 erhalten. Wir empfehlen dringend ein Upgrade von Ruby.

Details

Eine Sicherheitslücke, die einen Pufferüberlauf verursacht, wenn Sie einen sehr großen String (> 700 MB) an CGI.escape_html auf einer Plattform übergeben, auf der der long-Typ typischerweise 4 Bytes belegt, also Windows.

Bitte aktualisieren Sie das cgi-Gem auf Version 0.3.1, 0.2.1 und 0.1.1 oder neuer. Sie können gem update cgi verwenden, um es zu aktualisieren. Wenn Sie Bundler verwenden, fügen Sie gem "cgi", ">= 0.3.1" zu Ihrer Gemfile hinzu. Alternativ aktualisieren Sie bitte Ruby auf 2.7.5 oder 3.0.3.

Dieses Problem wurde seit Ruby 2.7 eingeführt, daher ist die mit Ruby 2.6 gebündelte cgi-Version nicht anfällig.

Betroffene Versionen

• cgi gem 0.1.0 oder älter (welche gebündelte Versionen mit Ruby 2.7-Serie vor Ruby 2.7.5 sind)
• cgi gem 0.2.0 oder älter (welche gebündelte Versionen mit Ruby 3.0-Serie vor Ruby 3.0.3 sind)
• cgi gem 0.3.0 oder älter

Credits

Vielen Dank an chamal für die Entdeckung dieses Problems.

Verlauf

• Ursprünglich veröffentlicht am 2021-11-24 12:00:00 (UTC)