CVE-2017-0900
WysokieStreszczenie
Wersje RubyGems 2.6.12 i wcześniejsze są podatne na złośliwie skonstruowane specyfikacje gemów, które mogą prowadzić do ataku typu denial of service na klientów RubyGems, którzy wydali polecenie `query`.
Ocena ryzyka
Organizacje mogą doświadczyć przerw w dostępności usług RubyGems, co może wpłynąć na procesy deweloperskie i wydajność aplikacji.
Rekomendacja
Zaleca się aktualizację RubyGems do wersji nowszej niż 2.6.12, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w RubyGems
Zobacz wszystkie- CVE-2017-0902Wysokie
RubyGems w wersji 2.6.12 i wcześniejszych jest podatny na atak typu DNS hijacking, który pozwala atakującemu przejąć kontrolę nad połączeniem i wymusić na kliencie RubyGems pobranie oraz zainstalowanie gemów z serwera, który kontroluje.
- CVE-2017-0901Wysokie
Wersje RubyGems 2.6.12 i wcześniejsze nie weryfikują nazw specyfikacji, co pozwala na stworzenie złośliwego gema, który może nadpisać dowolny plik w systemie plików.
- CVE-2017-0903Krytyczne
Wersje RubyGems od 2.0.0 do 2.6.13 są podatne na potencjalną możliwość zdalnego wykonania kodu. Deserializacja YAML specyfikacji gemów może obejść białe listy klas.
- CVE-2017-0899Krytyczne
RubyGems w wersji 2.6.12 i wcześniejszych jest podatny na złośliwie skonstruowane specyfikacje gemów, które zawierają znaki ucieczki terminala. Wydrukowanie specyfikacji gema może spowodować wykonanie sekwencji ucieczki terminala.
- CVE-2026-82455Niskie ryzyko· EPSS 4%
Rekord CVE został odrzucony — opiekunowie RubyGems uznali, że zgłoszone zachowanie polegające na podążaniu za dowiązaniami symbolicznymi podczas rozpakowywania gemów nie jest podatnością bezpieczeństwa, więc nie istnieje podatność do opisania w tym rekordzie.
Oryginalny opis (angielski, źródło NVD)
RubyGems version 2.6.12 and earlier is vulnerable to maliciously crafted gem specifications to cause a denial of service attack against RubyGems clients who have issued a `query` command.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS