PT-2021-7337 · Ruby+10 · Date Gem+11
Svalkanov
·
Publicado
2021-11-15
·
Atualizado
2025-12-12
·
CVE-2021-41817
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões da gem
date anteriores à 3.2.1Versões da gem
date anteriores à 3.1.2Versões da gem
date anteriores à 3.0.2Versões da gem
date anteriores à 2.0.1Descrição
O problema está relacionado a uma vulnerabilidade ReDoS (Negação de Serviço por Expressão Regular) na gem date para Ruby, que pode ser explorada usando uma string longa. Isso pode levar a uma negação de serviço. A vulnerabilidade se deve ao uso de expressões regulares internamente nos métodos de análise de data, incluindo
Date.parse. Aplicativos e bibliotecas que aplicam tais métodos a entradas não confiáveis podem ser afetados.Recomendações
Para versões da gem date anteriores à 3.2.1, atualize para a versão 3.2.1 ou posterior.
Para versões da gem date anteriores à 3.1.2, atualize para a versão 3.1.2 ou posterior.
Para versões da gem date anteriores à 3.0.2, atualize para a versão 3.0.2 ou posterior.
Para versões da gem date anteriores à 2.0.1, atualize para a versão 2.0.1 ou posterior.
Como solução alternativa temporária, considere usar
Date.strptime com um formato de data predefinido, como Date.strptime(‘2001-02-20’, ‘%Y-%m-%d’).Exploit
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Red Hat
Red Os
Rocky Linux
Ruby
Suse
Ubuntu
Date Gem