CVE-2017-0903

Krytyczne

Opublikowano: 11/10/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Wersje RubyGems od 2.0.0 do 2.6.13 są podatne na potencjalną możliwość zdalnego wykonania kodu. Deserializacja YAML specyfikacji gemów może obejść białe listy klas.

Ocena ryzyka

Atakujący może wykorzystać specjalnie przygotowane obiekty do eskalacji uprawnień i zdalnego wykonania kodu, co stanowi poważne zagrożenie dla bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację RubyGems do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.

Oryginalny opis (angielski, źródło NVD)

RubyGems versions between 2.0.0 and 2.6.13 are vulnerable to a possible remote code execution vulnerability. YAML deserialization of gem specifications can bypass class white lists. Specially crafted serialized objects can possibly be used to escalate to remote code execution.