CVE-2016-7954
KrytyczneStreszczenie
Bundler w wersji 1.x może umożliwić zdalnym atakującym wstrzyknięcie dowolnego kodu Ruby do aplikacji poprzez wykorzystanie kolizji nazw gemów w źródle wtórnym.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad aplikacją, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Bundlera do najnowszej wersji oraz monitorowanie używanych gemów w celu uniknięcia kolizji nazw.
Inne podatności w Bundler 1.x
Zobacz wszystkie- CVE-2020-36327Wysokie
Bundler w wersjach 1.16.0 do 2.2.9 oraz 2.2.11 do 2.2.16 czasami wybiera źródło zależności na podstawie najwyższego numeru wersji gem, co oznacza, że złośliwy gem z publicznego źródła może zostać wybrany zamiast zamierzonego prywatnego gemu.
- CVE-2021-43809Średnie
Podatność w Bundlerze (wersje przed 2.2.33) polega na możliwości wykonania dowolnego kodu podczas przetwarzania niezaufanego pliku Gemfile. Jeśli Gemfile zawiera zależność z opcją git, której URL zaczyna się od myślnika (np. '-u./payload'), Bundler może zinterpretować go jako opcję git clone, co prowadzi do wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Bundler 1.x might allow remote attackers to inject arbitrary Ruby code into an application by leveraging a gem name collision on a secondary source. NOTE: this might overlap CVE-2013-0334.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS