原文

iCalendarはRFC-5545で定義されたiCalendar形式のファイルを扱うRubyライブラリであり、バージョン2.0.0から2.12.2未満には.icsファイルのURIプロパティ値が適切にサニタイズされない問題があります。この問題により、攻撃者は制御可能な入力を使用してICSインジェクションを行い、任意のカレンダー行を出力に追加できる恐れがあります。具体的には、Icalendar::Values::UriはURI.parseが失敗した場合に元の入力文字列を返し、その後のシリアライズ処理で改行コードを適切に除去またはエスケープしないため、CRLFを含むペイロードが元のプロパティを終了させ、新たなICSプロパティやコンポーネントを作成するリスクがあります。この脆弱性はurl、source、image、organizer、attach、attendee、conference、tzurlといったプロパティ経由でのインジェクションを可能にします。部分的に信頼されていないメタデータから.icsファイルを生成するアプリケーションが影響を受けるため、結果として下流のカレンダークライアントやインポーターが攻撃者の供給した内容を正当なイベントデータとして処理し、参加者の追加やURLの変更、アラームやその他のカレンダー項目の改変が行われる可能性があります。本問題はバージョン2.12.2で修正されました。