CVE-2021-43809

Versões do bundler anteriores à 2.2.33

O problema está relacionado ao tratamento de arquivos Gemfile não confiáveis no bundler. Quando um Gemfile inclui entradas gem com a opção git e valores inválidos que começam com um traço, isso pode levar à execução de código. Isso ocorre porque o bundler usa comandos como git clone e os constrói utilizando a entrada do usuário, que pode ser interpretada como argumentos opcionais em vez de posicionais. Um invasor pode explorar isso criando um diretório com um Gemfile que declare uma dependência em um repositório Git com uma URL Git no formato -u./payload. Isso pode levar à execução arbitrária de código, permitindo potencialmente o controle do sistema. No entanto, a explorabilidade é baixa devido à necessidade de interação significativa do usuário.

Para resolver o problema, atualize para a versão 2.2.33 ou posterior do bundler.

Para versões anteriores à 2.2.33, como solução temporária, considere revisar quaisquer Gemfiles não confiáveis antes de executar quaisquer comandos bundler que possam lê-los, uma vez que eles podem conter código Ruby arbitrário.