Anzeige
In Ruby on Rails befindet sich eine kritische Schwachstelle.
In Ruby on Rails befindet sich eine kritische Schwachstelle. (Bild: Ruby On Rails)

Sicherheit Kritische Sicherheitslücke in Ruby on Rails

Ein kritischer Fehler in fast allen Versionen von Ruby on Rails ermöglicht das Ausführen von Systemkommandos aus der Ferne. Die Schwachstelle ist im XML-Parser. Patches für etliche Ruby-on-Rails-Versionen sind bereits erhältlich.

Anzeige

Über eine Sicherheitslücke im XML-Parser von Ruby on Rails lässt sich Code aus der Ferne über den Aufruf Hash.from_xml() auf einen Server einschleusen und ausführen. Die Schwachstelle CVE-2013-0156 ermöglicht es beispielsweise, über Yaml auf Ruby-Symbole zuzugreifen, über die sich eine Endlosschleife auslösen lässt.

Ruby on Rails ermöglicht die automatische Zuordnung von Typen, die allerdings nicht überprüft werden. Es wird normalerweise davon ausgegangen, dass Strings, Arrays oder Hashes übergeben werden. In einem Proof of Concept beschreibt Sicherheitsexperte Felix Wilhelm einen Angriff per SQL-Injection über Yaml.

Laut der Webseite Arstechnica arbeiten die Entwickler des Sicherheitsframeworks Metasploit bereits an einem Modul, das das Internet nach offenen Ruby-on-Rails-Servern durchsuchen soll.

Die Ruby-on-Rails-Entwickler raten, schnellstmöglich auf die Versionen 3.2.11, 3.1.10, 3.0.19 und 2.3.15 von Ruby on Rails zu aktualisieren, die die Schwachstelle schließen. Alternativ können Administratoren vorübergehend das Verarbeiten von Yaml und von Symbolen deaktivieren oder den XML-Parser komplett abschalten, wenn dieser nicht benötigt wird.


eye home zur Startseite
developer 09. Jan 2013

Korrekt. Spiegel sind schon was doofes wenn sie einem vorgehalten werden. :-)

Kommentieren



Anzeige

  1. PHP Entwickler für webbasierte Branchensoftware (m/w)
    OktoPOS Solutions GmbH, Hamburg
  2. Einkäufer IT (m/w) Workplace Services
    über HRM CONSULTING GmbH, Nürnberg
  3. Software-Qualitätsingen- ieur (m/w)
    Cambaum GmbH, Baden-Baden
  4. Software-Entwickler (m/w) Java/C++
    IVU Traffic Technologies AG, Berlin, Aachen

Detailsuche



Anzeige

Folgen Sie uns
       


  1. Die Woche im Video

    Die Schoko-Burger-Woche bei Golem.de - mmhhhh!

  2. Zcryptor

    Neue Ransomware verbreitet sich auch über USB-Sticks

  3. LTE-Nachfolger

    Huawei schließt praktische Tests für Zukunftsmobilfunk ab

  4. Beam

    Neues Modul für Raumstation klemmt

  5. IT-Sicherheit

    SWIFT-Hack vermutlich größer als bislang angenommen

  6. Windows 10

    Microsoft bringt verdoppelten Virenschutz

  7. Audience Network

    Facebook trackt auch Nichtnutzer für Werbezwecke

  8. Statt Fernsehen

    Ministerrat will europaweite 700-MHz-Freigabe für Breitband

  9. Gran Turismo Sport

    Ein Bündnis mit der Realität

  10. Fensens Parksensor

    Einparken mit dem Smartphone



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
GPD XD im Test: Zwischen Nintendo 3DS und PS Vita ist noch Platz
GPD XD im Test
Zwischen Nintendo 3DS und PS Vita ist noch Platz
  1. Playstation 4 Rennstart für Gran Turismo Sport im November 2016
  2. Project Spark Microsoft stellt seinen Spieleeditor ein
  3. AMD Drei Konsolen-Chips für 2017 angekündigt

Intels Compute Stick im Test: Der mit dem Lüfter streamt (2)
Intels Compute Stick im Test
Der mit dem Lüfter streamt (2)
  1. Apple Store Apple darf keine Geschäfte in Indien eröffnen
  2. Prozessoren Intel soll in Deutschland Abbau von 350 Stellen planen
  3. HBM2 eSilicon zeigt 14LPP-Design mit High Bandwidth Memory

Xiaomi Mi5 im Test: Das fast perfekte Top-Smartphone
Xiaomi Mi5 im Test
Das fast perfekte Top-Smartphone
  1. Konkurrenz zu DJI Xiaomi mit Kampfpreis für Mi-Drohne
  2. YI 4K Xiaomi greift mit 4K-Actionkamera GoPro an

  1. Re: was ist eigentlich mit

    seizethecheesl | 09:39

  2. Re: Wieso denn so teuer?

    Niantic | 09:29

  3. Re: MS warnt? Die Unterstützen das doch.

    longthinker | 09:27

  4. Re: Adblocker sind die besseren Antiviren

    medium_quelle | 09:25

  5. Ja und? Es gibt reichlich Straßen wo ein LKW...

    derdiedas | 09:25


  1. 09:01

  2. 17:09

  3. 16:15

  4. 15:51

  5. 15:21

  6. 15:12

  7. 14:28

  8. 14:17


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel