Katalog CVE
CVE-2016-2336
KrytyczneStreszczenie
W klasie WIN32OLE w Ruby występuje pomyłka typów w metodach ole_invoke i ole_query_interface. Atakujący, przekazując obiekt innego typu niż zakładany przez programistów, może spowodować wykonanie dowolnego kodu.
Ocena ryzyka
Organizacja może być narażona na zdalne wykonanie kodu, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Ruby do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie kodu w celu zapewnienia odpowiedniej walidacji typów obiektów.
Oryginalny opis (angielski, źródło NVD)
Type confusion exists in two methods of Ruby's WIN32OLE class, ole_invoke and ole_query_interface. Attacker passing different type of object than this assumed by developers can cause arbitrary code execution.