CVE-2023-40165

rubygems.org, Ruby topluluğunun temel gem (kütüphane) barındırma hizmetidir. Yetersiz girdi doğrulaması, kötü niyetli aktörlerin; platformu, versiyon numarası veya gem adı `/-\d/` ile eşleşen herhangi bir yüklenmiş gem versiyonunu değiştirmesine, kanonik gem depolama kovasındaki meşru yüklemeyi kalıcı olarak değiştirmesine ve kötü niyetli gem'in hemen sunulması için anında bir CDN temizliği tetiklemesine izin vermiştir. Bakımcılar, `/-\d/` deseniyle eşleşen tüm gem'leri kontrol etmiş ve beklenmedik hiçbir `.gem` dosyası bulunmadığını onaylamıştır. Sonuç olarak, bu zafiyetin istismar edilmediğine inanıyoruz. Bir kullanıcının uygulamalarının bu zafiyet tarafından istismar edilip edilmediğini anlamanın en kolay yolu, indirilen tüm .gem dosyalarının RubyGems.org veritabanında kayıtlı olan sağlama toplamı (checksum) ile eşleştiğini kontrol etmektir. RubyGems katkıcısı Maciej Mensfeld, indirilen tüm .gem dosyalarının RubyGems.org veritabanında kayıtlı sağlama toplamlarıyla eşleştiğini otomatik olarak kontrol eden bir araç yazmıştır. Bu aracı `bundle add bundler-integrity` komutunu ardından `bundle exec bundler-integrity` komutunu çalıştırarak kullanabilirsiniz. Ne bu araç ne de başka bir şey istismar edilmediğinizi kanıtlayabilir ancak RubyGems API tarafından sağlanan sağlama toplamlarını diskinizdeki dosyaların sağlama toplamlarıyla hızlıca karşılaştırarak incelemenize yardımcı olabilir. Sorun, iyileştirilmiş girdi doğrulamasıyla yamalanmış ve değişiklikler yayına alınmıştır. Kullanıcı tarafında herhangi bir işlem yapılması gerekmemektedir. Kullanıcıların yerel gem'lerini doğrulamaları önerilir.