Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

29/11/2013

Noves versions de Ruby corregixen execució remota de codi

El llenguatge de programació Ruby ha actualitzat les seues branques 2.1x, 2.x i 1.9.x per a resoldre una vulnerabilitat remota que permetria realitzar una denegació de servei i potencialment l’execució de codi arbitrari.

La vulnerabilitat, amb CVE-2013-4164, comuna a totes les versions indicades, és a causa d'una fallada a l’hora de processar valors en coma flotant, localitzat en l’arxiu 'util.c' (funció ruby_strtod).

Segons el seu descobridor Charlie Somerville (@charliesome), desenvolupador de Ruby, quan es realitza una conversió de determinades cadenes a valors en coma flotant es produïx un desbordament de memòria basat en pila que és potencialment utilitzable per a l’execució remota de codi a través de valors especialment manipulats.

Encara que no hi ha un exploit de moment, Charlie ha indicat que qualsevol codi vulnerable produïx el desbordament de memòria en utilitzar mètodes o funcions que convertisquen tipus des d’orígens desconeguts a coma flotant, com "to_f" o l’habitual "JSON.parse":

 Cadena_vulnerable.to_f

 JSON.parse Cadena_vulnerable

Es tractaria d’una vulnerabilitat semblant a la ja corregida en el CVE-2009-0689.

Aquells usuaris que encara utilitzen la branca 1.8 hauran de migrar els seus sistemes a les noves, ja que no hi ha suport oficial per a esta.
https://www.ruby-lang.org/en/downloads/

Sistemes Afectats:

Referències:

CVE-2013-4164

Solució:

Actualitzeu les branques 2.1x, 2.x i 1.9x. La branca 1.8x no té suport. 

Notes:

 

CSIRT-CV