Sintesi

Rilevate 2 vulnerabilità nelle componenti Rdoc e StringIO del linguaggio di programmazione Ruby.

Tipologia

• Remote Code Execution
• Information Disclosure

Prodotti e versioni affette

Ruby

• 3.0.x, versioni 3.0.6 e precedenti
• 3.1.x, versioni 3.1.4 e precedenti
• 3.2.x, versioni 3.2.3 e precedenti
• 3.3.0, versioni 3.3.0 e precedenti

StringIO gem 3.0.x, versioni 3.0.2 e precedenti

RDoc gem

• 6.3.x, versioni 6.3.3 e precedenti
• dalla versione 6.4.0 alla 6.6.2 senza patch (6.3.4, 6.4.1, 6.5.1)

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

CVE-2024-27281

CVE-2024-27280

Riferimenti

https://www.ruby-lang.org/en/news/2024/03/21/buffer-overread-cve-2024-27280/

https://www.ruby-lang.org/en/news/2024/03/21/rce-rdoc-cve-2024-27281/

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.