CVE-2020-36327
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
Bundler w wersjach 1.16.0 do 2.2.9 oraz 2.2.11 do 2.2.16 czasami wybiera źródło zależności na podstawie najwyższego numeru wersji gem, co oznacza, że złośliwy gem z publicznego źródła może zostać wybrany zamiast zamierzonego prywatnego gemu.
Ocena ryzyka
Może prowadzić do ataku typu Dependency Confusion, w którym instalowany jest złośliwy pakiet, co może skutkować wykonaniem kodu w środowisku budowania.
Rekomendacja
Zaktualizuj Bundler do wersji nowszej niż 2.2.16, która naprawia tę podatność, oraz stosuj przypinanie zależności do zaufanych źródeł.
Inne podatności w Bundler
Zobacz wszystkie- CVE-2016-7954Krytyczne
Bundler w wersji 1.x może umożliwić zdalnym atakującym wstrzyknięcie dowolnego kodu Ruby do aplikacji poprzez wykorzystanie kolizji nazw gemów w źródle wtórnym.
- CVE-2021-43809Średnie
Podatność w Bundlerze (wersje przed 2.2.33) polega na możliwości wykonania dowolnego kodu podczas przetwarzania niezaufanego pliku Gemfile. Jeśli Gemfile zawiera zależność z opcją git, której URL zaczyna się od myślnika (np. '-u./payload'), Bundler może zinterpretować go jako opcję git clone, co prowadzi do wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Bundler 1.16.0 through 2.2.9 and 2.2.11 through 2.2.16 sometimes chooses a dependency source based on the highest gem version number, which means that a rogue gem found at a public source may be chosen, even if the intended choice was a private gem that is a dependency of another private gem that is explicitly depended on by the application. NOTE: it is not correct to use CVE-2021-24105 for every "Dependency Confusion" issue in every product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS