Boletines de Vulnerabilidades |
Inyecciones SQL en Ruby on Rails |
|
Clasificación de la vulnerabilidad |
|
| Propiedad | Valor |
| Nivel de Confianza | Oficial |
| Impacto | Obtener acceso |
| Dificultad | Experto |
| Requerimientos del atacante | Acceso remoto sin cuenta a un servicio estandar |
Información sobre el sistema |
|
| Propiedad | Valor |
| Fabricant afectat | GNU/Linux |
| Software afectado |
Rubyonrails Ruby On Rails 3.2.9 Rubyonrails Ruby On Rails 3.2.8 Rubyonrails Ruby On Rails 3.2.7 Rubyonrails Ruby On Rails 3.2.6 Rubyonrails Ruby On Rails 3.2.5 |
Descripción |
|
|
Se podría permitir a atacantes remotos realizar ataques de inyección SQL mediante la llamada al método find_by_id a través de un parámetro modificado, previo el conocimiento del valor almacenado en secret_token. Se permite a atacantes remotos ejecutar comandos SQL a través de una solicitud modificada de buscadores dinámicos en aplicaciones que pueden utilizar las llamadas al método find_by_. |
|
Solución |
|
| El fabricante ha puesto a disposición del usuario una actualización que pone fin a dichas vulnerabilidades. | |
Identificadores estándar |
|
| Propiedad | Valor |
| CVE |
CVE-2012-6496 CVE-2012-6497 |
| BID | |
Recursos adicionales |
|
|
[rubyonrails-security] 20130102 SQL Injection Vulnerability in Ruby on Rails (CVE-2012-5664) https://groups.google.com/group/rubyonrails-security/msg/23daa048baf28b64?dmode=source&output=gplain [oss-security] 20130103 Re: SQL Injection Vulnerability in Ruby on Rails (CVE-2012-5664) http://openwall.com/lists/oss-security/2013/01/03/12 |
|
Histórico de versiones |
||
| Versión | Comentario | Data |
| 1.0 | Aviso emitido | 2013-01-07 |