Il presente articolo è un prodotto originale di csirt.gov.it, riproposto qui a solo scopo di aumentarne la visibilità. 

Data di creazione: 03/07/2023 – 11:45

Sintesi

Rilevata una vulnerabilità con gravità “alta” in RubyGems, gestore di pacchetti per il linguaggio di programmazione Ruby.

Tipologia

• Denial of Service

Prodotti e versioni affette

RubyGems uri gem

• 0.10.x per Ruby 3.0, versioni precedenti alla 0.10.3
• 0.12.x per Ruby 3.1 e 3.2, versioni precedenti alla 0.12.2

(aggiornamento del 22/01/2024)

Ruby, versioni precedenti a Ruby 3.2.3

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2023-36617

Riferimenti

https://www.ruby-lang.org/en/news/2023/06/29/redos-in-uri-CVE-2023-36617/

https://www.ruby-lang.org/en/news/2024/01/18/ruby-3-2-3-released/ (aggiornamento del 22/01/2024)

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.