CVE-2016-2337

Krytyczne

Opublikowano: 06/01/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W klasie TclTkIp metody _cancel_eval w Ruby występuje pomyłka typów. Atakujący, przekazując obiekt innego typu niż String jako argument 'retval', może spowodować wykonanie dowolnego kodu.

Ocena ryzyka

Organizacja może być narażona na zdalne wykonanie kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację Ruby do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie kodu w celu weryfikacji typów przekazywanych argumentów.

Oryginalny opis (angielski, źródło NVD)

Type confusion exists in _cancel_eval Ruby's TclTkIp class method. Attacker passing different type of object than String as "retval" argument can cause arbitrary code execution.