CVE-2022-29176

Rubygems, Ruby dili ekosistemi üçün proqram təminatı təmin etmək məqsədilə istifadə olunan paket reyestridir. "yank" əməliyyatındakı bir xəta səbəbindən, hər hansı RubyGems.org istifadəçisinin müvəffəqiyyətsiz şəkildə səlahiyyətləndirildiyi halda belə bəzi gem-ləri silmək və dəyişdirmək imkanı var idi. Zəifliyə məruz qalmaq üçün gem-in aşağıdakı şərtlərdən birini yerinə yetirməsi lazımdır: adında bir və ya daha çox tire işarəsinin olması və son 30 gün ərzində yaradılması VƏ YA 100 gündən çoxdur heç bir yeniləmənin olmaması. Hazırda bu zəiflikdən istifadə edilmədiyinə inanırıq. Gem versiyası dərc edildikdə və ya "yank" edildikdə RubyGems.org bütün gem sahiblərinə e-poçt göndərir. Gem sahiblərindən onların gem-inin icazəsiz şəkildə "yank" edildiyini bildirən heç bir dəstək müraciəti almamışıq. Son 18 ay üçün gem dəyişikliklərinin auditi bu zəifliyin bədniyyətli şəkildə istifadə edildiyinə dair heç bir nümunə tapmadı. Bu eksploytun mümkün istifadəsi ilə bağlı daha dərindən audit davam etdirilir və tamamlandıqdan sonra bu bildiriş yenilənəcəkdir. Bundler komandasının həmişə tövsiyə etdiyi kimi, CI prosesində və tətbiqlər zamanı Bundler-dən --frozen və ya --deployment rejimində istifadə etmək, tətbiqinizin səssiz şəkildə bu eksployt vasitəsilə yaradılmış versiyalara keçməməsini təmin edəcəkdir. Tətbiq tarixçənizi keçmiş mümkün eksploytlar üçün yoxlamaq üçün Gemfile.lock faylını nəzərdən keçirin və versiya nömrəsi dəyişmədiyi halda platforması dəyişən gem-ləri axtarın. Məsələn, gemname-3.1.2 versiyasının gemname-3.1.2-java versiyasına yenilənməsi bu zəifliyin mümkün sui-istifadəsinə işarə edə bilər. RubyGems.org yamalanmışdır və 5 may 2022-ci il tarihindən etibarən artıq bu problemə qarşı zəif deyildir.