In Ruby on Rails befindet sich eine kritische Schwachstelle.
In Ruby on Rails befindet sich eine kritische Schwachstelle. (Bild: Ruby On Rails)

Ruby on Rails Aktualisierungen schließen kritische Sicherheitslücken

Mit Updates für einige Versionen von Ruby on Rails haben Entwickler zwei kritische Sicherheitslücken geschlossen. Gleichzeitig gibt es ein Update für das Json-Gem, das ebenfalls einen gravierenden Fehler korrigiert.

Anzeige

Das Ruby-on-Rails-Team hat die Updates 3.2.12, 3.1.11 und 2.3.17 veröffentlicht, die zwei kritische Sicherheitslücken in dem Webapplikationsframework schließen. In allen Versionen wird damit ein Fehler in der Methode attr_protected in Active Record behoben.

Die Sicherheitslücke wird unter der CVE-Nummer 2013-0276 geführt. Das Modul Active Record wird genutzt, um in Datenbanken zu schreiben. Über einen Fehler in der Methode attr-protected können sich Angreifer Zugriff auf die Sperrliste der Modulattribute verschaffen und dort beliebige Werte verändern. Anwendungen, die stattdessen die Methode attr_accessible nutzen, sind nicht betroffen.

Der zweite Fehler, der unter der CVE-Nummer 2013-0277 geführt wird, entsteht aus der kombinierten Nutzung von Active Record und Yaml. Entwickler können über die Active-Record-Methode Objekte sequenziell in einem Blob (Binary Large Object) in einer Datenbank speichern. Für deren Serialisierung wird Yaml verwendet. Über eine manipulierte Anfrage können Angreifer beliebigen Yaml-Code deserialisieren, also einen Datenstrom in ein Objekt verwandeln. Der Fehler ist mit dem Update 2.3.17 behoben. Ein Update für Ruby on Rails 3.0 wird es nicht geben.

Fehlerhaftes Json-Gem

Außerdem wurde das Json-Gem (CVE 2013-0269) aktualisiert. In der vorherigen Version konnten über das Json-Paket beliebige Ruby-Symbole generiert werden, die für einen DoS-Angriff genutzt werden konnten. Zudem konnten manipulierte Json-Dokumente dazu genutzt werden, um durch Ruby-on-Rails SQL-Einschleusung durchzuführen. Thomas Hollstegge beschreibt die Sicherheitslücke ausführlich in seinem Blog.

Die Updates sind auf der Webseite des Projekts verfügbar. Anwendern wird dringend geraten, sie zu installieren.


Lala Satalin... 12. Feb 2013

Es ist leider nicht so einfach Lücken zu finden. Wenn du es allerdings besser kannst...

Kommentieren



Anzeige

  1. Professur (m/w) Energy Informatics - Fakultät für Informatik / Kommunikation / Medien
    FH OÖ Studienbetriebs GmbH, Hagenberg (Österreich)
  2. Inhouse Sharepoint Consultant (m/w)
    ElringKlinger AG, Dettingen an der Erms
  3. Systems Engineer (m/w)
    NetApp Deutschland GmbH, München/Kirchheim
  4. Teilprojektleiter (m/w) Digitale Innovation
    Media-Saturn-Holding GmbH, Ingolstadt

Detailsuche


Blu-ray-Angebote
  1. NEU: Blu-rays je 9,97 EUR oder günstiger
    (u. a. Ghostbusters I & II Bundle 8,99€, From Beyond, Highlander, Road - TT - Sucht nach...
  2. NEU: Blu-rays je 7,97 EUR oder günstiger
    (u. a. Dallas Buyers Club, Mud - Kein Ausweg, The Body, Die Höhle, Sylvester Stallone vs. Dolph...
  3. TIPP: Heat [Blu-ray]
    4,99€

Weitere Angebote


Folgen Sie uns
       


  1. Mediapad M2 8.0

    Huaweis neues 8-Zoll-Tablet im Metallgehäuse

  2. Mad Max im Test

    Sandbox voll mit schönem Schrott

  3. 2,5-Zoll-HDD

    Seagate erhöht Speicherdichte auf 1 TByte pro Platter

  4. Retropie 3 angetestet

    Unkompliziertes Retro-Daddeln auf dem Raspberry Pi

  5. Dreadnought 2050

    Das Kampfschiff der Zukunft fährt mit Fusionsenergie

  6. Gehacktes Babyfon

    Das Kind schreit, und die Welt hört mit

  7. Panasonic Viera TX-65CW954/CZ950

    Weg vom Plasma, hin zum OLED-Panel

  8. Asus Zen All-in-One

    4K, Maxwell-Grafik, PCIe-SSD, Realsense, Skylake, Win10

  9. Owncloud

    "Warum sollte uns jemand trauen?"

  10. X Rebirth

    Egosoft arbeitet an neuem Weltraumspiel



Haben wir etwas übersehen?

E-Mail an news@golem.de



TempleOS im Test: Göttlicher Hardcore
TempleOS im Test
Göttlicher Hardcore
  1. Windows-10-Updates Microsoft intensiviert die Geheimniskrämerei
  2. Windows-Insider-Programm Chrome hat Probleme mit Windows 10 Build 10525
  3. Microsoft Erster Insider-Build seit dem Erscheinen von Windows 10

Windows 95 im Test: Endlich lange Dateinamen!
Windows 95 im Test
Endlich lange Dateinamen!
  1. Tool Microsoft Snip erzeugt Screenshots mit Animationen und Sprachmemos
  2. Internet Explorer Notfall-Patch für Microsofts Browser
  3. Vor dem Start von Windows 10 Steigender Marktanteil für Windows 7

Game Writer: Warum Quereinsteiger selten gute Storys für Spiele schreiben
Game Writer
Warum Quereinsteiger selten gute Storys für Spiele schreiben
  1. This War of Mine Krieg mit The Little Ones auf Konsole
  2. Swapster Deutsche Börse plant Handelsplattform für Spieler
  3. Ninja Theory Hellblade und eine Heldin mit Trauma

  1. Re: Fusionsreaktor in 35 Jahren?

    JürgenOfner | 14:43

  2. Re: Perfekt für jeden, der nichts mit seinem...

    SeppKrautinger | 14:43

  3. Re: Noch mehr Hardware-Schrott

    George99 | 14:42

  4. Re: wer braucht sowas heute noch?

    plutoniumsulfat | 14:42

  5. Fast so schön ...

    ahoihoi | 14:41


  1. 14:22

  2. 14:00

  3. 12:40

  4. 12:05

  5. 12:03

  6. 11:43

  7. 11:07

  8. 11:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel