Rubygems, el popular gestor de paquetes para Ruby, se ha actualizado urgentemente para dar solución a un paquete de vulnerabilidades que le afectaban.
RubyGems es un gestor de paquetes para el lenguaje de programación Ruby que proporciona un formato estándar y autocontenido (llamado gem) para poder distribuir programas o bibliotecas en Ruby, una herramienta destinada a gestionar la instalación de éstos, y un servidor para su distribución.
Aunque no se ha facilitado mayor información, las vulnerabilidades corregidas han sido las siguientes:
- Salto de restricciones (Path traversal) a la hora de escribir a un enlace simbólico de directorio.
- Salto de restricciones (Path traversal) durante la instalación de gemas.
- Vulnerabilidad de deserialización de objetos asociada al dueño de una gema.
- Incorrecta gestión de los campos octales en las cabeceras de ficheros tar.
- Incorrecta gestión de ficheros duplicados en un paquete.
- Incorrecta validación de las URLs en el atributo spec homepage que podría facilitar ataques XSS.
Las vulnerabilidades fueron descubiertas por nmalkin, plover, Yasin Soliman y se ha publicado la versión 2.7.6 para corregirlas. Se puede actualizar a esta versión desde el propio gestor de rubygems mediante:
gem update –system
Más información:
RubyGems 2.7.6 includes security fixes:
http://blog.rubygems.org/2018/02/15/2.7.6-released…
Fuente: hispasec.com