Ruby on Rails Aktualisierungen schließen kritische Sicherheitslücken

Mit Updates für einige Versionen von Ruby on Rails haben Entwickler zwei kritische Sicherheitslücken geschlossen. Gleichzeitig gibt es ein Update für das Json-Gem, das ebenfalls einen gravierenden Fehler korrigiert.

Anzeige

Das Ruby-on-Rails-Team hat die Updates 3.2.12, 3.1.11 und 2.3.17 veröffentlicht, die zwei kritische Sicherheitslücken in dem Webapplikationsframework schließen. In allen Versionen wird damit ein Fehler in der Methode attr_protected in Active Record behoben.

Die Sicherheitslücke wird unter der CVE-Nummer 2013-0276 geführt. Das Modul Active Record wird genutzt, um in Datenbanken zu schreiben. Über einen Fehler in der Methode attr-protected können sich Angreifer Zugriff auf die Sperrliste der Modulattribute verschaffen und dort beliebige Werte verändern. Anwendungen, die stattdessen die Methode attr_accessible nutzen, sind nicht betroffen.

Der zweite Fehler, der unter der CVE-Nummer 2013-0277 geführt wird, entsteht aus der kombinierten Nutzung von Active Record und Yaml. Entwickler können über die Active-Record-Methode Objekte sequenziell in einem Blob (Binary Large Object) in einer Datenbank speichern. Für deren Serialisierung wird Yaml verwendet. Über eine manipulierte Anfrage können Angreifer beliebigen Yaml-Code deserialisieren, also einen Datenstrom in ein Objekt verwandeln. Der Fehler ist mit dem Update 2.3.17 behoben. Ein Update für Ruby on Rails 3.0 wird es nicht geben.

Fehlerhaftes Json-Gem

Außerdem wurde das Json-Gem (CVE 2013-0269) aktualisiert. In der vorherigen Version konnten über das Json-Paket beliebige Ruby-Symbole generiert werden, die für einen DoS-Angriff genutzt werden konnten. Zudem konnten manipulierte Json-Dokumente dazu genutzt werden, um durch Ruby-on-Rails SQL-Einschleusung durchzuführen. Thomas Hollstegge beschreibt die Sicherheitslücke ausführlich in seinem Blog.

Die Updates sind auf der Webseite des Projekts verfügbar. Anwendern wird dringend geraten, sie zu installieren.


Lala Satalin... 12. Feb 2013

Es ist leider nicht so einfach Lücken zu finden. Wenn du es allerdings besser kannst...

Kommentieren



Anzeige

  1. Softwareentwickler ASP.NET (m/w)
    MWG-Biotech AG, Ebersberg (Großraum München)
  2. Akademischer Mitarbeiter (m/w)
    Hochschule Furtwangen, Furtwangen
  3. IT-Trainee (m/w)
    Allianz Deutschland AG, Stuttgart
  4. Software Entwickler (TTS) (m/w)
    Continental AG, Villingen-Schwenningen

 

Detailsuche


Folgen Sie uns
       


  1. Arin

    IPv4-Adressen in Nordamerika nähern sich dem Ende

  2. Flappy 48

    Zahlen statt Vögel

  3. Port 32764

    Netgear will angebliche Router-Lücke schließen

  4. Darknet

    Grams - eine Suchmaschine für Drogen

  5. Kitkat-Smartphone

    Samsungs Galaxy Ace Style kommt früher

  6. Netmundial-Konferenz

    Netzaktivisten frustriert über "Farce" der Internetkontrolle

  7. Zalando

    Onlinekleiderhändler schließt einen Standort

  8. Apple vs. Samsung

    Google versprach Samsung Hilfe im Patentstreit mit Apple

  9. Deadcore

    Indiegames-Turmbesteigung für PC, Mac und Linux

  10. Reprap

    "Waschmaschinen werden auch nur 5% der Lebenszeit verwendet"



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
25 Jahre Gameboy: Nintendos kultisch verehrte Daddelkiste
25 Jahre Gameboy
Nintendos kultisch verehrte Daddelkiste

Der Gameboy ist gut gealtert - heute wird mit der Konsole Musik gemacht, und selbst Spieleprogrammierer werden beim Anblick des grauen 8-Bit-Klotzes nostalgisch.

  1. Satoru Iwata Nintendo will Handhelds und stationäre Konsolen vereinen
  2. Nintendo Yamauchi-Clan will Anteile abstoßen
  3. Mario Nintendo macht Apps und gesund

Digitalkamera: Panono macht Panoramen im Flug
Digitalkamera
Panono macht Panoramen im Flug

Wenn Jonas Pfeil ein Panorama aufnimmt, stellt er nicht Kamera, Stativ und Panoramakopf auf, sondern wirft einen Ball in die Höhe. Um das Panorama anschließend zu betrachten, hantiert er mit einem Tablet. Der Berliner hat Golem.de seine Entwicklung erklärt.

  1. Nachfolger von Google Glass Google patentiert Kontaktlinsen mit Kameras
  2. Pentax 645Z Mittelformatkamera mit 51 Megapixeln und ISO 204.800
  3. Coolpix S810C Spielen und Surfen mit der Nikon-Kamera

Windows 8.1 Update 1 im Test: Ein lohnenswertes Miniupdate
Windows 8.1 Update 1 im Test
Ein lohnenswertes Miniupdate

Microsoft geht wieder einen Schritt zurück in die Zukunft. Mit dem Update 1 baut der Konzern erneut Funktionen ein, die vor allem für Mausschubser gedacht sind. Wir haben uns das Miniupdate für Windows 8.1 pünktlich zur Veröffentlichung angesehen.

  1. Microsoft Installationsprobleme beim Windows 8.1 Update 1
  2. Windows 8.1 Update 1 Wieder mehr minimieren und schließen
  3. Microsoft Windows 8.1 Update 1 vorab verfügbar

    •  / 
    Zum Artikel