Sintesi

Rilevate 3 vulnerabilità nelle componenti Rdoc, StringIO e Regex Search del linguaggio di programmazione Ruby.

Tipologia

• Remote Code Execution
• Information Disclosure

Prodotti e versioni affette

Ruby

• 3.0.x, versioni 3.0.7 e precedenti
• 3.1.x, versioni 3.1.5 e precedenti
• 3.2.x, versioni 3.2.4 e precedenti
• 3.3.0, versioni 3.3.1 e precedenti

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2024-27282

CVE-2024-27281

CVE-2024-27280

Riferimenti

https://www.ruby-lang.org/en/news/2024/04/23/ruby-3-1-5-released/

https://www.ruby-lang.org/en/news/2024/04/23/ruby-3-0-7-released/

https://www.ruby-lang.org/en/news/2024/04/23/ruby-3-2-4-released/

https://www.ruby-lang.org/en/news/2024/04/23/ruby-3-3-1-released/

https://www.ruby-lang.org/en/news/2024/04/23/arbitrary-memory-address-read-regexp-cve-2024-27282/

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.