Boletines de Vulnerabilidades

int(6665)

Boletines de Vulnerabilidades

Vulnerabilidades en Ruby on Rails.
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	official+tested
Impacto	Obtener acceso
Dificultad	Avanzado
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	Comercial Software
Software afectado	Rails 3.2, 3.1 and 2.3
Descripción
Se han descubierto vulnerabilidades en Ruby on Rails que podrian causar fallos en el funcionamiento del siste,a. Los desarrolladores de Ruby on Rails han publicado actualizaciones para Rails 3.2, 3.1 y 2.3 y también se actualizó la gema JSON para solucionar un fallo de seguridad importante. El problema más notable es el CVE-2013-0277, un problema relacionado con los atributos serializados en YAML. La falla puede permitir denegación de servicio o la ejecución de código remoto. El problema con la gema JSON, CVE-2013-0269, permite crear símbolos Ruby al analizar ciertos documentos JSON. Los símbolos no se tratan correctamente y pueden ser utilizados para realizar un ataque de denegación de servicio. La técnica también permite a los atacantes crear objetos que actúan como objetos internos y se puede conseguir pasar por alto los mecanismos de seguridad. La solución a CVE-2013-0276 también se aplica en las versiones 3.2, 3.1 y 2.3 de Rails. El método attr_protected se utiliza para añadir atributos asignados por una petición, a una lista negra. Este paso se puede evitar, lo que permite a los atacantes manipular lo que deberían ser campos protegidos mediante una una solicitud modificada.
Solución
Aplicar las últimas actualizaciones lanzadas.
Identificadores estándar
Propiedad	Valor
CVE	CVE-2013-0277 CVE-2013-0269 CVE-2013-0276
BID
Recursos adicionales
Boletín de seguridad de the H-security http://www.h-online.com/security/news/item/More-Rails-security-fixes-released-1802628.html