Anzeige
In Ruby on Rails befindet sich eine kritische Schwachstelle.
In Ruby on Rails befindet sich eine kritische Schwachstelle. (Bild: Ruby On Rails)

Sicherheit Kritische Sicherheitslücke in Ruby on Rails

Ein kritischer Fehler in fast allen Versionen von Ruby on Rails ermöglicht das Ausführen von Systemkommandos aus der Ferne. Die Schwachstelle ist im XML-Parser. Patches für etliche Ruby-on-Rails-Versionen sind bereits erhältlich.

Anzeige

Über eine Sicherheitslücke im XML-Parser von Ruby on Rails lässt sich Code aus der Ferne über den Aufruf Hash.from_xml() auf einen Server einschleusen und ausführen. Die Schwachstelle CVE-2013-0156 ermöglicht es beispielsweise, über Yaml auf Ruby-Symbole zuzugreifen, über die sich eine Endlosschleife auslösen lässt.

Ruby on Rails ermöglicht die automatische Zuordnung von Typen, die allerdings nicht überprüft werden. Es wird normalerweise davon ausgegangen, dass Strings, Arrays oder Hashes übergeben werden. In einem Proof of Concept beschreibt Sicherheitsexperte Felix Wilhelm einen Angriff per SQL-Injection über Yaml.

Laut der Webseite Arstechnica arbeiten die Entwickler des Sicherheitsframeworks Metasploit bereits an einem Modul, das das Internet nach offenen Ruby-on-Rails-Servern durchsuchen soll.

Die Ruby-on-Rails-Entwickler raten, schnellstmöglich auf die Versionen 3.2.11, 3.1.10, 3.0.19 und 2.3.15 von Ruby on Rails zu aktualisieren, die die Schwachstelle schließen. Alternativ können Administratoren vorübergehend das Verarbeiten von Yaml und von Symbolen deaktivieren oder den XML-Parser komplett abschalten, wenn dieser nicht benötigt wird.


eye home zur Startseite
developer 09. Jan 2013

Korrekt. Spiegel sind schon was doofes wenn sie einem vorgehalten werden. :-)

Kommentieren



Anzeige

  1. IT Specialist Security (m/w)
    Dr. August Oetker Nahrungsmittel KG, Bielefeld
  2. Leiter IT-Transformationsprojekte (m/w)
    über Hanseatisches Personalkontor Nürnberg, Nürnberg
  3. Hardware-Integrator (m/w) für den Bereich Mobilfunk-Messtechnik
    ROHDE & SCHWARZ GmbH & Co. KG, München
  4. Embedded Softwareentwickler/-in
    Bosch Thermotechnik GmbH, Lollar

Detailsuche



Anzeige
Hardware-Angebote
  1. XFX Radeon R9 Fury Pro Triple Dissipation
    nur 429,00€ + 5,99€ Versand
  2. NEU: Sandisk SDSSDHII-480G-G25 Ultra II 480-GB-SSD
    115,00€
  3. NEU: Optische Maus mit 1.600 dpi
    1,99€ inkl. Versand

Weitere Angebote


Folgen Sie uns
       


  1. Ransomware

    Sächsischer Verfassungsschutz wurde verschlüsselt

  2. Kabelnetzbetreiber

    Angeblicher 300-Millionen-Deal zwischen Telekom und Kabel BW

  3. Fathom Neural Compute Stick

    Movidius packt Deep Learning in einen USB-Stick

  4. Das Flüstern der Alten Götter im Test

    Düstere Evolution

  5. Urheberrecht

    Ein Anwalt, der klingonisch spricht

  6. id Software

    Dauertod in Doom

  7. Nach Motorola

    Rick Osterloh soll neue Hardware-Abteilung von Google leiten

  8. Agon AG271QX

    Erster 1440p-Monitor mit 30-Hz-Freesync-Untergrenze

  9. Alienation im Test

    Mit zwei Analogsticks gegen viele Außerirdische

  10. Das Internet der Menschen

    "Industrie 4.0 verbannt Menschen nicht aus Werkhallen"



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
PGP im Parlament: Warum mein Abgeordneter keine PGP-Mail öffnen kann
PGP im Parlament
Warum mein Abgeordneter keine PGP-Mail öffnen kann

Nordrhein-Westfalen: Deutsche Telekom beginnt mit Micro-Trenching für Glasfaser
Nordrhein-Westfalen
Deutsche Telekom beginnt mit Micro-Trenching für Glasfaser
  1. FTTH Deutsche Glasfaser will schnell eine Million anschließen
  2. M-net Glasfaser für 70 Prozent der Münchner Haushalte
  3. FTTH Telekom wird 1 GBit/s für Selbstbauer überall anbieten

Mirror's Edge Catalyst angespielt: Flow mit Faith und fallen
Mirror's Edge Catalyst angespielt
Flow mit Faith und fallen

  1. Re: Warum sind Klingonen so beliebt?

    DerVorhangZuUnd... | 05:16

  2. Re: Warum ist Esperanto so selten?

    Sharra | 04:16

  3. Re: Alles schön und gut, aber ...

    MacGyver031 | 03:51

  4. Re: Ihr könnt es drehen und wenden wie Ihr wollt

    User_x | 03:23

  5. Re: Die kopierte Datei...

    User_x | 03:22


  1. 00:05

  2. 19:51

  3. 18:59

  4. 17:43

  5. 17:11

  6. 16:22

  7. 16:15

  8. 15:03


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel