🇰🇷 한글 설명
RubyGems 2.7.6부터 3.0.2 버전에서 디렉토리 트래버스 취약점이 발견되었습니다. 악성 젬이 심볼릭 링크를 이용해 사용자의 시스템에 있는 임의의 파일을 삭제할 수 있으며, 특히 sudo 권한으로 실행될 경우 시스템 전체에 심각한 데이터 손실을 초래할 수 있습니다.
💡 쉬운 설명
나쁜 프로그램이 컴퓨터의 가짜 경로(심볼릭 링크)를 이용해 중요한 파일을 몰래 지울 수 있는 문제입니다. 관리자 권한으로 실행될 경우 컴퓨터의 핵심 파일을 지워 시스템을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
A Directory Traversal issue was discovered in RubyGems 2.7.6 and later through 3.0.2. Before making new directories or touching files (which now include path-checking code for symlinks), it would delete the target destination. If that destination was hidden behind a symlink, a malicious gem could delete arbitrary files on the user's machine, presuming the attacker could guess at paths. Given how frequently gem is run as sudo, and how predictable paths are on modern systems (/tmp, /usr, etc.), this could likely lead to data loss or an unusable system.
📍 영향받는 시스템
RubyGems 2.7.6 ~ 3.0.2
⚔️ 공격 벡터
심볼릭 링크를 이용한 디렉토리 트래버스 및 임의 파일 삭제
🛡️ 대응 방법
RubyGems를 최신 버전(3.0.3 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.0.2 이하인지 확인하여 취약 여부를 판단합니다.