CVE-2022-31163

TZInfo, zaman dilimi verilerine erişim sağlayan ve zamanların zaman dilimi kuralları kullanılarak dönüştürülmesine olanak tanıyan bir Ruby kütüphanesidir. 0.36.1'den önceki sürümler ile Ruby veri kaynağı tzinfo-data ile birlikte kullanıldığında 1.2.10'dan önceki sürümler, göreceli yol aşımı (relative path traversal) zafiyetine sahiptir. Ruby veri kaynağı ile zaman dilimleri Ruby dosyalarında tanımlanır. Her zaman dilimi için bir dosya bulunur. Zaman dilimi dosyaları talep üzerine `require` ile yüklenir. Etkilenen sürümlerde, `TZInfo::Timezone.get` zaman dilimi tanımlayıcılarını doğru şekilde doğrulamada başarısız olur ve tanımlayıcı içerisinde yeni satır karakterine izin verir. Ruby sürüm 1.9.3 ve sonrasında, `TZInfo::Timezone.get` fonksiyonunun `require` ile istenmeyen dosyaları yüklemesi sağlanarak bu dosyaların Ruby işlemi içinde çalıştırılması mümkündür. 0.3.61 ve 1.2.10 sürümleri, zaman dilimi tanımlayıcılarını doğru şekilde doğrulamak için düzeltmeler içerir. 2.0.0 ve sonraki sürümler etkilenmemektedir. 0.3.61 sürümü, isimleri geçerli bir zaman dilimi tanımlayıcısı kurallarına uyuyorsa ve dosya, yükleme yolu (load path) içindeki bir dizinde `tzinfo/definition` önekine sahipse, hala Ruby yükleme yolundan rastgele dosyalar yükleyebilir. Uygulamalar, güvenilmeyen dosyaların yükleme yolundaki bir dizine yerleştirilmediğinden emin olmalıdır. Geçici bir çözüm olarak, zaman dilimi tanımlayıcısı `TZInfo::Timezone.get` fonksiyonuna aktarılmadan önce `\A[A-Za-z0-9+\-_]+(?:\/[A-Za-z0-9+\-_]+)*\z` düzenli ifadesiyle eşleştiği doğrulanabilir.