CVE-2022-31163

TZInfo, saat qurşağı məlumatlarına çıxışı təmin edən və saat qurşağı qaydalarına əsasən vaxtların çevrilməsinə imkan verən Ruby kitabxanasıdır. 0.36.1-dən əvvəlki versiyalar, həmçinin Ruby məlumat mənbəyi tzinfo-data ilə istifadə edildikdə 1.2.10-dan əvvəlki versiyalar nisbi yol keçmə zəifliyinə məruz qalır. Ruby məlumat mənbəyi ilə saat qurşaqları Ruby fayllarında müəyyən edilir. Hər saat qurşağı üçün bir fayl mövcuddur. Saat qurşağı faylları tələb əsasında `require` ilə yüklənir. Təsirlənmiş versiyalarda `TZInfo::Timezone.get` saat qurşağı identifikatorlarını düzgün doğrulamır və identifikator daxilində yeni sətir simvoluna icazə verir. Ruby 1.9.3 və sonrakı versiyalarda `TZInfo::Timezone.get` funksiyası `require` ilə nəzərdə tutulmayan faylları yükləməyə və onları Ruby prosesi daxilində icra etməyə məcbur edilə bilər. 0.3.61 və 1.2.10 versiyaları saat qurşağı identifikatorlarının düzgün doğrulanması üçün düzəlişlər ehtiva edir. 2.0.0 və sonrakı versiyalar zəifliyə məruz qalmır. 0.3.61 versiyası hələ də Ruby yükləmə yolundan ixtiyari faylları yükləyə bilər, əgər onların adı etibarlı saat qurşağı identifikatoru qaydalarına uyğundursa və fayl yükləmə yolundakı qovluq daxilində `tzinfo/definition` prefiksinə malikdirsə. Tətbiqlər etibarsız faylların yükləmə yolundakı qovluğa yerləşdirilmədiyinə əmin olmalıdır. Alternativ həll kimi, saat qurşağı identifikatoru `TZInfo::Timezone.get` funksiyasına ötürülməzdən əvvəl onun `\A[A-Za-z0-9+\-_]+(?:\/[A-Za-z0-9+\-_]+)*\z` müntəzəm ifadəsinə uyğun olduğuna əmin olmaqla doğrulana bilər.