CVE-2024-27281

Versões do RDoc 6.3.3 a 6.6.2

A vulnerabilidade está relacionada à restauração de dados não confiáveis na memória pelo gerador de documentação RDoc para a linguagem de programação Ruby. Isso pode ser explorado para executar código arbitrário por meio de arquivos especialmente criados com a extensão .rdoc options. Ao analisar o .rdoc options como um arquivo YAML, a injeção de objetos e a consequente execução remota de código são possíveis devido à falta de restrições nas classes que podem ser restauradas. Além disso, ao carregar o cache de documentação, a injeção de objetos e a consequente execução remota de código também são possíveis se existir um cache malicioso.

Para usuários do Ruby 3.0, atualize para o rdoc 6.3.4.1.

Para usuários do Ruby 3.1, atualize para o rdoc 6.4.1.1.

Para usuários do Ruby 3.2, atualize para o rdoc 6.5.1.1.

Para outros usuários, atualize o gem RDoc para a versão 6.6.3.1 ou posterior.

Você pode usar gem update rdoc para atualizá-la. Se estiver usando o bundler, adicione gem “rdoc”, “>= 6.6.3.1” ao seu Gemfile.

Como solução temporária, considere restringir o acesso ao arquivo .rdoc options para minimizar o risco de exploração.