GLSA 202401-05: RDoc: Command Injection

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	RDoc: Command Injection
Дата:	05.01.2024
Ошибки:	#801301
ID:	202401-05

Сводка

A vulnerability has been found in RDoc which allows for command injection.

Назначение

RDoc produces HTML and command-line documentation for Ruby projects.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-ruby/rdoc	< 6.3.2	>= 6.3.2	All supported architectures

Описание

A vulnerability has been discovered in RDoc. Please review the CVE identifier referenced below for details.

Воздействие

RDoc used to call Kernel#open to open a local file. If a Ruby project has a file whose name starts with | and ends with tags, the command following the pipe character is executed. A malicious Ruby project could exploit it to run an arbitrary command execution against a user who attempts to run the rdoc command.

Обход

There is no known workaround at this time.

Решение

All RDoc users should upgrade to the latest version:

          # emerge --sync
          # emerge --ask --oneshot --verbose ">=dev-ruby/rdoc-6.3.2"

Ссылки

CVE-2021-31799

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-202401-05.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.