CVE-2015-4020 in RubyGems
Tóm tắt
Bởi VulDB • 30/06/2026
RubyGems 2.0.x trước phiên bản 2.0.17, 2.2.x trước phiên bản 2.2.5 và 2.4.x trước phiên bản 2.4.8 không xác thực tên máy chủ (hostname) khi tải gem hoặc thực hiện yêu cầu API, cho phép kẻ tấn công từ xa chuyển hướng các yêu cầu đến các miền tùy ý thông qua một bản ghi DNS SRV được tạo ra đặc biệt với tên miền có hậu tố là tên miền gốc, hay còn gọi là "tấn công đánh cắp DNS" (DNS hijack attack). LƯU Ý: lỗ hổng này tồn tại do việc sửa chữa không đầy đủ cho CVE-2015-3900.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.