Plataforma
ruby
Componente
command_wrap
Corregido en
0.6.3
La vulnerabilidad CVE-2013-1875 es una inyección de comandos que afecta a la gema command_wrap para Ruby. Esta falla permite a atacantes remotos ejecutar comandos arbitrarios en el sistema, explotando la falta de sanitización de entradas en URLs o nombres de archivo. Las versiones afectadas son aquellas inferiores o iguales a 0.6.2. Se recomienda actualizar a una versión corregida o aplicar medidas de mitigación temporales.
Un atacante puede explotar esta vulnerabilidad inyectando metacaracteres de shell en una URL o nombre de archivo procesado por la gema command_wrap. Esto permite la ejecución de comandos arbitrarios en el servidor donde se ejecuta la aplicación Ruby. El impacto puede ser severo, incluyendo la toma de control del sistema, robo de datos sensibles, o la instalación de malware. La falta de validación de entrada hace que sea relativamente fácil de explotar, especialmente en aplicaciones web que procesan datos proporcionados por el usuario.
Esta vulnerabilidad ha sido conocida durante varios años, pero aún puede representar un riesgo en sistemas que no han sido actualizados. No se ha reportado explotación activa a gran escala, pero la facilidad de explotación la convierte en un objetivo potencial. La vulnerabilidad no figura en el KEV de CISA. La divulgación pública se realizó en 2017.
Applications utilizing the commandwrap gem in their Ruby code, particularly those that process user-supplied URLs or filenames without proper input validation, are at risk. This includes web applications, automation scripts, and any other Ruby-based tools that rely on commandwrap for command execution.
• ruby / gem: Use gem list to identify installed versions of command_wrap. Check for versions ≤0.6.2.
gem list command_wrap• ruby / gem: Inspect application code for usage of command_wrap where URLs or filenames are directly passed to shell commands without proper sanitization.
• ruby / system: Monitor system logs for unusual command execution patterns or suspicious processes spawned by Ruby applications using command_wrap.
discovery
disclosure
poc
Estado del Exploit
EPSS
0.73% (73% percentil)
La mitigación principal es actualizar la gema commandwrap a una versión corregida. Si la actualización no es inmediatamente posible, se recomienda implementar validación y sanitización exhaustivas de todas las entradas proporcionadas por el usuario que se utilizan en comandos del sistema. Además, se puede considerar el uso de un firewall de aplicaciones web (WAF) para bloquear solicitudes maliciosas que contengan metacaracteres de shell. Se debe revisar el código para identificar y eliminar cualquier uso inseguro de la gema commandwrap.
Sin parche oficial disponible. Busca alternativas o monitorea actualizaciones.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2013-1875 is a Command Injection vulnerability affecting versions of the command_wrap Ruby gem prior to 0.6.2. It allows attackers to execute arbitrary commands through URLs or filenames.
You are affected if your application uses the command_wrap gem and you are running a version equal to or less than 0.6.2. Check your gem versions immediately.
Upgrade to a patched version of the command_wrap gem (version 0.6.3 or later). If upgrading is not possible, implement strict input validation and sanitization.
While no active campaigns are publicly known, the vulnerability's ease of exploitation makes it a persistent risk. Proof-of-concept exploits are available.
Refer to the Ruby Security Advisory for details: https://rubysec.com/advisories/CVE-2013-1875
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo Gemfile.lock y te decimos al instante si estás afectado.