Java, .NET va PHP da tuzatilgan deserializatsiya xatosi endi Rubyda topildi.

Ushbu zaiflik tajovuzkorlarga dasturni zararli kodni ishga tushirishga majburlash imkonini beradi.

2015-yilda Java tilida «seriyasizlashtirish xatosi» deb nomlangan narsa topildi, bu ekotizimda vayronagarchilik keltirib chiqardi va Java Apokalipsisi deb nomlandi. Ikki yil o’tgach, u .NET va PHP da topildi va o’tgan hafta Avstraliyaning Elttam kompaniyasi tadqiqotchilari ham bir nechta zaif Ruby ilovalarini aniqladilar. Zaiflik Rubyning seriyalashtirish va seriyasizlashtirishni qanday boshqarishidan kelib chiqadi. Seriyalashtirish – bu obyektni saqlash yoki xotiraga o’tkazish uchun baytlar oqimiga aylantirish jarayoni, qarama-qarshi jarayon esa seriyasizlashtirish deb ataladi. Ikkala operatsiya ham deyarli barcha dasturlash tillari tomonidan qo’llab-quvvatlanadi (jarayonlarning nomlari farq qilishi mumkin, ammo printsip bir xil bo’lib qoladi).

Bir necha yil oldin aniqlangan zaiflik, ayniqsa foydalanuvchi oldindan tekshiruvsiz ma’lumotlarni to’g’ridan-to’g’ri ketma-ketlashtiruvchiga kiritganda, dasturni zararli buyruqlarni bajarishga aldash uchun ketma-ketlashtirish va ketma-ketlashtirishdan voz kechish jarayonlaridan foydalanish imkonini beradi.

Apache, Cisco, Red Hat, VMWare, IBM, Intel, Adobe, HP, Jenkins va SolarWinds ilgari Java Apocalypse zaifligini tuzatish bo’yicha maslahatlar va xavfsizlik yangilanishlarini chiqargan edi. 2017-yilda muammo .NET va PHP da aniqlangan edi, endi esa navbat Rubyga keldi. Muammo 2.0 dan 2.5 gacha bo’lgan versiyalarga ta’sir qiladi.