CVE-2017-1000037
KrytyczneStreszczenie
RVM automatycznie ładuje zmienne środowiskowe z plików w $PWD, co prowadzi do możliwości wykonania poleceń. RVM wykonuje również haki oraz instaluje gemy i wykonuje 'bundle install' na podstawie plików w $PWD, co skutkuje wykonaniem kodu.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego wykonania kodu w systemie, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się ograniczenie dostępu do plików w $PWD oraz przeglądanie i weryfikowanie zmiennych środowiskowych przed ich załadowaniem przez RVM.
Oryginalny opis (angielski, źródło NVD)
RVM automatically loads environment variables from files in $PWD resulting in command execution RVM vulnerable to command injection when automatically loading environment variables from files in $PWD RVM automatically executes hooks located in $PWD resulting in code execution RVM automatically installs gems as specified by files in $PWD resulting in code execution RVM automatically does "bundle install" on a Gemfile specified by .versions.conf in $PWD resulting in code execution