OpenNews: Обновление Ruby on Rails 3.2.12, 3.1.11 и 2.3.17 с устранением критической уязвимости

12.02.2013 21:30 Обновление Ruby on Rails 3.2.12, 3.1.11 и 2.3.17 с устранением критической уязвимости

Представлены корректирующие выпуски Ruby on Rails 3.2.12, 3.1.11 и 2.3.17 в которых устранены две уязвимости:

Первая уязвимость (CVE-2013-0277) обусловлена недоработкой в коде сериализации данных в ActiveRecord, который позволяет при разборе сериализированных полей распаковать и обработать произвольный блок YAML. Как и в ситуации с ранее исправленными в этом году уязвимостями, передав специально оформленную последовательность YAML атакующий может инициировать выполнение объектов с Ruby-кодом.
Вторая уязвимость (CVE-2013-0276) связана ошибкой в реализации метода "attr_protected" в ActiveRecord, который не полностью ограничивает доступ к закрытым атрибутам, что позволяет атакующему изменить запрещённые для изменения параметры через отправку специально оформленного запроса. Проблема проявляется только при использовании в приложении метода "attr_protected".

Отдельно отмечается уязвимость (CVE-2013-0269) в JSON gem, позволяющая осуществить отказ в обслуживании или способствовать проведению целевых атак по подстановке SQL-запроса при обработке специально оформленного ввода.

исправить +1 +/–

Тип: Проблемы безопасности

Ключевые слова: ruby, rails, security, (найти похожие документы)

При перепечатке указание ссылки на opennet.ru обязательно

Реклама

Обсуждение

Линейный вид (Ajax) | Показать все | RSS

1.1, Аноним, 21:33, 12/02/2013 [ответить] [смотреть все]	+4 +/–
Это уже не смешно, c начала года в RoR стабильно каждые две недели находят крити... весь текст скрыт [показать]

2.6, ВовкаОсиист, 22:00, 12/02/2013 [^] [ответить] [смотреть все]	+/–
не смешнее было б, если бы не выходили обновления с устранением проблем безопасности(см жава).

2.8, kosha, 23:32, 12/02/2013 [^] [ответить] [смотреть все]	+/–
Чем выше популярность, тем больше интерес к информации обрабатываемой фреймворком (поиск дыр). Банально. Кстати, сегодня на форуме прочитал, что гитхаб в последнее время тоже регулярно стал недоступен, тоже ведь на RoR.

3.9, Аноним, 00:03, 13/02/2013 [^] [ответить] [смотреть все]	+1 +/–
Проблема не в активном поиске дыр, а в том, что уже четвёртый раз не могут полно... весь текст скрыт [показать]

2.13, Аноним, 13:55, 13/02/2013 [^] [ответить] [смотреть все]	+1 +/–
А вы думали что выполнение кода возможно только через переполнение буфферов Ха-... весь текст скрыт [показать]

1.3, V, 21:52, 12/02/2013 [ответить] [смотреть все]	+1 +/–
http://www.didrailshaveamajorsecurityflawtoday.com/

1.5, evgeny_t, 21:59, 12/02/2013 [ответить] [смотреть все]	+2 +/–
это не уязвимость а позорное программирование )

2.14, Аноним, 14:31, 13/02/2013 [^] [ответить] [смотреть все]	+/–
Сделай лучше, фуле Код открыт Форкни и почини А то песдеть все горазды ... весь текст скрыт [показать]

1.7, Аноним, 22:27, 12/02/2013 [ответить] [смотреть все]	+/–
Интересно, уязвимости на Github е тестируют ... весь текст скрыт [показать]

1.10, бедный буратино, 02:50, 13/02/2013 [ответить] [смотреть все]	–1 +/–
Rails хочет занять место php? :)

2.11, Аноним, 06:22, 13/02/2013 [^] [ответить] [смотреть все]	+1 +/–
По количеству уязвимостей в последнее время рельсы успешно соревнуются с джаво-п... весь текст скрыт [показать]

3.12, бедный буратино, 09:06, 13/02/2013 [^] [ответить] [смотреть все]	+/–
Уязвимость-то одна, но они её так бережно переносят из версии в версию, дабы не сломать. :)

Ваш комментарий