In Ruby on Rails befindet sich eine kritische Schwachstelle.
In Ruby on Rails befindet sich eine kritische Schwachstelle. (Bild: Ruby On Rails)

Sicherheit Kritische Sicherheitslücke in Ruby on Rails

Ein kritischer Fehler in fast allen Versionen von Ruby on Rails ermöglicht das Ausführen von Systemkommandos aus der Ferne. Die Schwachstelle ist im XML-Parser. Patches für etliche Ruby-on-Rails-Versionen sind bereits erhältlich.

Anzeige

Über eine Sicherheitslücke im XML-Parser von Ruby on Rails lässt sich Code aus der Ferne über den Aufruf Hash.from_xml() auf einen Server einschleusen und ausführen. Die Schwachstelle CVE-2013-0156 ermöglicht es beispielsweise, über Yaml auf Ruby-Symbole zuzugreifen, über die sich eine Endlosschleife auslösen lässt.

Ruby on Rails ermöglicht die automatische Zuordnung von Typen, die allerdings nicht überprüft werden. Es wird normalerweise davon ausgegangen, dass Strings, Arrays oder Hashes übergeben werden. In einem Proof of Concept beschreibt Sicherheitsexperte Felix Wilhelm einen Angriff per SQL-Injection über Yaml.

Laut der Webseite Arstechnica arbeiten die Entwickler des Sicherheitsframeworks Metasploit bereits an einem Modul, das das Internet nach offenen Ruby-on-Rails-Servern durchsuchen soll.

Die Ruby-on-Rails-Entwickler raten, schnellstmöglich auf die Versionen 3.2.11, 3.1.10, 3.0.19 und 2.3.15 von Ruby on Rails zu aktualisieren, die die Schwachstelle schließen. Alternativ können Administratoren vorübergehend das Verarbeiten von Yaml und von Symbolen deaktivieren oder den XML-Parser komplett abschalten, wenn dieser nicht benötigt wird.


developer 09. Jan 2013

Korrekt. Spiegel sind schon was doofes wenn sie einem vorgehalten werden. :-)

Kommentieren



Anzeige

  1. Software Application Engineer E-Commerce (m/w)
    Home Shopping Europe GmbH, Ismaning (Raum München)
  2. Business Analyst (m/w) Yield Management
    HAMBURG SÜD Schifffahrtsgruppe, Hamburg
  3. IT-Allrounder (m/w)
    Wirtz Druck GmbH & Co. KG, Datteln
  4. Webentwickler PHP / MySQL (m/w)
    Guest-One GmbH, Wuppertal

 

Detailsuche


Folgen Sie uns
       


  1. Linux-Distribution

    Less als mögliches Einfallstor

  2. Mobilfunktarif

    Spotify Family bei der Telekom nicht nutzbar

  3. Test Escape Dead Island

    Urlaub auf der Zombieinsel

  4. Compute Stick

    Intels HDMI-Stick kommt noch 2014

  5. Lifetab S10346

    Medion-Tablet kommt doch in alle Aldi-Filialen

  6. Snapdragon 810

    Erstes Smartphone mit 4 GByte RAM und USB 3.0

  7. Cross-Site-Scripting

    Kritische Wordpress-Lücke betrifft 86 Prozent der Seiten

  8. NSA-Ausschuss

    Meisterschule für Geheimniskrämer

  9. Lightpaper

    Rohinni druckt Leuchtdioden

  10. Fusion

    Telefónica will O2 verkaufen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Technik-Test Assassin's Creed Unity: Paris - die Stadt der Liebe zu Details
Technik-Test Assassin's Creed Unity
Paris - die Stadt der Liebe zu Details
  1. Test Assassin's Creed Rogue Abstecher zu den Templern
  2. Assassin's Creed Unity Patch-Evolution statt Revolution
  3. Test Assassin's Creed Unity Schöner meucheln in Paris

Yoga 3 Pro Convertible im Test: Flach, leicht, hochauflösend, kurzatmig
Yoga 3 Pro Convertible im Test
Flach, leicht, hochauflösend, kurzatmig
  1. HP Omen 15 Beleuchtetes Gaming-Ultrabook mit ungewöhnlicher Kühlung
  2. Weniger Consumer-Notebooks Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab
  3. Asus Zenbook UX305 Das flachste Ultrabook mit QHD-Display

Lichtfeldkamera Lytro Illum: Das Spiel mit der Tiefenschärfe
Lichtfeldkamera Lytro Illum
Das Spiel mit der Tiefenschärfe
  1. Lichtfeldkamera Lytro will in neue Märkte einsteigen
  2. Augmented Reality Google investiert 542 Millionen US-Dollar in Magic Leap
  3. Lytro Lichtfeldfotografie bildet die Tiefe der Welt ab

    •  / 
    Zum Artikel