Unzureichende Eingabevalidierung bei RubyGems.org ermöglichte Gem-Überschreibung

Beschreibung

Auf rubygems.org erlaubte eine unzureichende Eingabevalidierung böswilligen Akteuren, hochgeladene Gem-Versionen zu ersetzen, deren Plattform, Versionsnummer oder Gem-Name dem Muster /-\d/ entsprach – die legitime Version im kanonischen Gem-Speicher wurde dauerhaft überschrieben und per sofortiger CDN-Bereinigung ausgeliefert. Die Betreiber haben alle Gems mit passendem Muster geprüft und keine unerwarteten .gem-Dateien gefunden; die Schwachstelle gilt daher als nicht ausgenutzt. Das Problem wurde durch verbesserte Eingabevalidierung behoben, die Änderungen sind bereits live. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Prüfsummen lokaler Gems gegen die RubyGems.org-Datenbank abgleichen.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ruby

• KNX Association KNX Protocol Connection Authorization Option 1 – Overly Restrictive Account Lockout Mechanism KEV CVE-2023-4346
• Rails / Ruby on Rails Path Traversal Vulnerability KEV CVE-2019-5418
• Hitachi Vantara Pentaho BA Server – Special Element Injection KEV CVE-2022-43769
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• Adobe Flash Player – Integer Overflow KEV CVE-2015-8651
• Ruby on Rails – Directory Traversal KEV CVE-2014-0130