CVE-2022-29176

Rubygems, Ruby dili ekosistemi için yazılım sağlamak amacıyla kullanılan bir paket kayıt defteridir. Yank işlemindeki bir hata nedeniyle, herhangi bir RubyGems.org kullanıcısının yetkili olmasa bile belirli gem'leri kaldırması ve değiştirmesi mümkündü. Bir gem'in savunmasız olması için şunlardan birini karşılaması gerekiyordu: adında bir veya daha fazla tire bulunması ve son 30 gün içinde oluşturulmuş olması VEYA 100 günden uzun süredir güncelleme almamış olması. Şu an itibarıyla bu zafiyetin istismar edilmediğine inanıyoruz. RubyGems.org, bir gem sürümü yayınlandığında veya kaldırıldığında tüm gem sahiplerine bir e-posta gönderir. Gem sahiplerinden, gem'lerinin izinsiz olarak kaldırıldığına dair herhangi bir destek e-postası almadık. Son 18 aya ait gem değişikliklerinin denetiminde, bu zafiyetin kötü niyetli bir şekilde kullanıldığına dair herhangi bir örneğe rastlanmadı. Bu istismarın olası kullanımlarına yönelik daha derin bir denetim devam etmektedir ve tamamlandığında bu bildirim güncellenecektir. Bundler ekibinin her zaman önerdiği gibi, CI süreçlerinde ve dağıtımlar sırasında Bundler'ı --frozen veya --deployment modunda kullanmak, uygulamanızın sessizce bu istismar kullanılarak oluşturulan sürümlere geçiş yapmamasını garanti edecektir. Uygulama geçmişinizi olası geçmiş istismarlar açısından denetlemek için Gemfile.lock dosyanızı inceleyin ve sürüm numarası değişmediği halde platformu değişen gem'leri arayın. Örneğin, gemname-3.1.2 sürümünün gemname-3.1.2-java sürümüne güncellenmesi, bu zafiyetin olası bir suistimaline işaret edebilir. RubyGems.org yamalanmıştır ve 5 Mayıs 2022 tarihi itibarıyla artık bu soruna karşı savunmasız değildir.