CVE-2021-43809

`Bundler` è un package per la gestione delle dipendenze delle applicazioni in Ruby. Nelle versioni di `bundler` precedenti alla 2.2.33, quando si lavora con `Gemfile` non affidabili e apparentemente innocui, non ci si aspetta che essi portino all'esecuzione di codice esterno, a meno che ciò non sia esplicito nel codice Ruby all’interno del `Gemfile` stesso. Tuttavia, se il `Gemfile` include voci `gem` che utilizzano l’opzione `git` con valori non validi, ma apparentemente innocui, con un trattino iniziale, ciò può risultare falso. Per gestire le dipendenze provenienti da un repository Git anziché da un registro, Bundler utilizza vari comandi, come `git clone`. Questi comandi vengono costruiti utilizzando input dell’utente (ad esempio l’URL del repository). Quando si costruiscono i comandi, le versioni di Bundler prima della 2.2.33 evitano correttamente vulnerabilità di Command Injection passando un array di argomenti invece di una stringa di comando. Tuttavia, esiste la possibilità che un input dell’utente inizi con un trattino (`-`) e venga quindi trattato come un argomento opzionale anziché come un argomento posizionale. Ciò può portare all’Esecuzione di Codice perché alcuni comandi hanno opzioni che possono essere sfruttate per eseguire eseguibili arbitrari. Poiché questo valore proviene dal file `Gemfile`, può contenere qualsiasi carattere, incluso un trattino iniziale.

Per sfruttare questa vulnerabilità, un attaccante deve creare una directory contenente un file `Gemfile` che dichiara una dipendenza situata in un repository Git. Questa dipendenza deve avere un URL Git nella forma di `-u./payload`. Questo URL verrà utilizzato per costruire un comando di clone Git, ma verrà interpretato come l’argomento `upload-pack`. Successivamente, questa directory deve essere condivisa con la vittima, che dovrà quindi eseguire un comando che valuta il `Gemfile`, come ad esempio `bundle lock`, al suo interno.

Questa vulnerabilità può portare all’Esecuzione Arbitraria di Codice, potenzialmente consentendo il controllo completo del sistema. Tuttavia, la possibilità di sfruttarla è molto bassa, poiché richiede molta interazione da parte dell’utente. Bundler 2.2.33 ha corretto questo problema inserendo `--` come argomento prima di qualsiasi argomento posizionale nei comandi Git che erano affetti da questa vulnerabilità. Indipendentemente dal fatto che gli utenti possano aggiornare o meno, dovrebbero rivedere qualsiasi `Gemfile` non affidabile prima di eseguire qualsiasi comando `bundler` che possa leggerli, poiché potrebbero contenere codice Ruby arbitrario.