Sicherheit: Kritische Sicherheitslücke in Ruby on Rails

Ein kritischer Fehler in fast allen Versionen von Ruby on Rails ermöglicht das Ausführen von Systemkommandos aus der Ferne. Die Schwachstelle ist im XML-Parser. Patches für etliche Ruby-on-Rails-Versionen sind bereits erhältlich.

Artikel veröffentlicht am ,
In Ruby on Rails befindet sich eine kritische Schwachstelle.
In Ruby on Rails befindet sich eine kritische Schwachstelle. (Bild: Ruby On Rails)

Über eine Sicherheitslücke im XML-Parser von Ruby on Rails lässt sich Code aus der Ferne über den Aufruf Hash.from_xml() auf einen Server einschleusen und ausführen. Die Schwachstelle CVE-2013-0156 ermöglicht es beispielsweise, über Yaml auf Ruby-Symbole zuzugreifen, über die sich eine Endlosschleife auslösen lässt.

Stellenmarkt
  1. Junior SAP Basis Engineer (m/w/x)
    über duerenhoff GmbH, München
  2. IT-Systemadministrator (m/w/d) Netzwerktechnik
    Bayerische Versorgungskammer, München (Home-Office möglich)
Detailsuche

Ruby on Rails ermöglicht die automatische Zuordnung von Typen, die allerdings nicht überprüft werden. Es wird normalerweise davon ausgegangen, dass Strings, Arrays oder Hashes übergeben werden. In einem Proof of Concept beschreibt Sicherheitsexperte Felix Wilhelm einen Angriff per SQL-Injection über Yaml.

Laut der Webseite Arstechnica arbeiten die Entwickler des Sicherheitsframeworks Metasploit bereits an einem Modul, das das Internet nach offenen Ruby-on-Rails-Servern durchsuchen soll.

Die Ruby-on-Rails-Entwickler raten, schnellstmöglich auf die Versionen 3.2.11, 3.1.10, 3.0.19 und 2.3.15 von Ruby on Rails zu aktualisieren, die die Schwachstelle schließen. Alternativ können Administratoren vorübergehend das Verarbeiten von Yaml und von Symbolen deaktivieren oder den XML-Parser komplett abschalten, wenn dieser nicht benötigt wird.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Autonomes Fahren
Fahrerlose Taxis treffen sich und blockieren eine Kreuzung

Fahrerlose Autos haben manchmal ihren eigenen Willen und können einen Stau verursachen.

Autonomes Fahren: Fahrerlose Taxis treffen sich und blockieren eine Kreuzung
Artikel
  1. Action: EA plant Battlefield-7-Kampagne - und provoziert Solospieler
    Action
    EA plant Battlefield-7-Kampagne - und provoziert Solospieler

    Mit einem Tweet bringt EA die Fans von Solokampagnen gegen sich auf - und sucht gleichzeitig einen Designer für das nächste Battlefield.

  2. Datenleck: E-Mail-Adressen beim NFT-Marktplatz Opensea geklaut
    Datenleck
    E-Mail-Adressen beim NFT-Marktplatz Opensea geklaut

    Opensea meldet ein Datenleck mit mehr als 1,8 Millionen E-Mail-Adressen von NFT-Käufern und warnt vor Phishing.

  3. Rockstar Games: Viele Details zu GTA 6 geleakt - oder gefälscht
    Rockstar Games
    Viele Details zu GTA 6 geleakt - oder gefälscht

    Ein gangbasierter Onlinemodus, drei spielbare Charaktere in der Kampagne: Ein möglicher Leak zu GTA 6 sorgt für Diskussionen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Gigabyte RX 6800 679€ • Samsung SSD 2TB (PS5-komp.) 249,90€ • MindStar (Zotac RTX 3090 1.399€) • Nanoleaf günstiger • Alternate (TeamGroup DDR4-3600 16GB 49,99€, Be Quiet Silent Tower 159,90€) • iPhone SE (2022) günstig wie nie: 476,99€ • Switch OLED günstig wie nie: 333€ [Werbung]
    •  /