Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo CGI.escape_html en Ruby (CVE-2021-41816)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-190 Desbordamiento o ajuste de enteros
Fecha de publicación:
06/02/2022
Última modificación:
24/01/2024

Descripción

El archivo CGI.escape_html en Ruby versiones anteriores a 2.7.5 y 3.x versiones anteriores a 3.0.3, presenta un desbordamiento de enteros y un desbordamiento de búfer resultante por medio de una cadena larga en plataformas (como Windows) donde size_t y long tienen diferentes números de bytes. Esto también afecta a CGI gem versiones anteriores a 0.3.1 para Ruby

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:ruby-lang:cgi:*:*:*:*:*:ruby:*:* 0.3.1 (excluyendo)
cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:* 3.0.0 (incluyendo) 3.0.3 (excluyendo)
cpe:2.3:a:ruby-lang:cgi:*:*:*:*:*:ruby:*:* 0.2.0 (incluyendo)
cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:* 2.7.0 (incluyendo) 2.7.5 (excluyendo)
cpe:2.3:a:ruby-lang:cgi:*:*:*:*:*:ruby:*:* 0.1.0 (incluyendo)
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*