JVN#16765254: ruby-git における複数のコードインジェクションの脆弱性

ruby-git には、複数のコードインジェクションの脆弱性が存在します。

ruby-git は、Git リポジトリの作成、読み取り、および操作に使用できる Ruby ライブラリです。ruby-git には、複数のコードインジェクション (CWE-94) の脆弱性が存在します。

当該製品で、第三者によって細工されたファイル名を含むリポジトリを読み込むと、任意の ruby コードを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

ベンダ	リンク
ruby-git	GitHub \| ruby-git / ruby-git
	In ls-files do not unescape file paths with eval #602

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

基本値: 5.5

CVSS v2 AV:N/AC:M/Au:S/C:P/I:P/A:P

基本値: 6.0

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社ディー・エヌ・エー国分佑樹氏

JVN#16765254 ruby-git における複数のコードインジェクションの脆弱性