Vulnerability Bulletins |
Vulnerabilidades en Ruby on Rails. |
|
Vulnerability classification |
|
| Property | Value |
| Confidence level | official+tested |
| Impact | Obtener acceso |
| Dificulty | Avanzado |
| Required attacker level | Acceso remoto sin cuenta a un servicio estandar |
System information |
|
| Property | Value |
| Affected manufacturer | Comercial Software |
| Affected software | Rails 3.2, 3.1 and 2.3 |
Description |
|
|
Se han descubierto vulnerabilidades en Ruby on Rails que podrian causar fallos en el funcionamiento del siste,a. Los desarrolladores de Ruby on Rails han publicado actualizaciones para Rails 3.2, 3.1 y 2.3 y también se actualizó la gema JSON para solucionar un fallo de seguridad importante. El problema más notable es el CVE-2013-0277, un problema relacionado con los atributos serializados en YAML. La falla puede permitir denegación de servicio o la ejecución de código remoto. El problema con la gema JSON, CVE-2013-0269, permite crear símbolos Ruby al analizar ciertos documentos JSON. Los símbolos no se tratan correctamente y pueden ser utilizados para realizar un ataque de denegación de servicio. La técnica también permite a los atacantes crear objetos que actúan como objetos internos y se puede conseguir pasar por alto los mecanismos de seguridad. La solución a CVE-2013-0276 también se aplica en las versiones 3.2, 3.1 y 2.3 de Rails. El método attr_protected se utiliza para añadir atributos asignados por una petición, a una lista negra. Este paso se puede evitar, lo que permite a los atacantes manipular lo que deberían ser campos protegidos mediante una una solicitud modificada. |
|
Solution |
|
| Aplicar las últimas actualizaciones lanzadas. | |
Standar resources |
|
| Property | Value |
| CVE | CVE-2013-0277 CVE-2013-0269 CVE-2013-0276 |
| BID | |
Other resources |
|
|
Boletín de seguridad de the H-security http://www.h-online.com/security/news/item/More-Rails-security-fixes-released-1802628.html |
|
Version history |
||
| Version | Comments | Date |
| 1.0 | Aviso emitido | 2013-02-14 |