Impatto Sistemico

Medio (63.46)

Sintesi

Sanata una vulnerabilità in Ruby che interessava il meccanismo di gestione dei timeout della funzione rb_getaddrinfo , utilizzata da Addrinfo.getaddrinfo(…, timeout:) e Socket.tcp(…, resolv_timeout) . In particolari condizioni temporali, un oggetto in memoria poteva essere liberato mentre un altro thread cercava di accedervi, causando un dereferenziamento di memoria libera già liberata. Tale vulnerabilità, qualora sfruttata, potrebbe consentire a un utente malintenzionato remoto di compromettere la disponibilità del servizio sui sistemi interessati.

Tipologia

Denial of Service

Prodotti e versioni affette

Ruby

• 4.0.x, versioni precedenti la 4.0.5
• 4.1.0-dev (master) priva di mitigazione

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare le versioni vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.