В Ruby on Rails обнаружена критическая уязвимость, позволяющая выполнит

[Anton Gorlov]

Привет All!


09.01.2013 18:27 В Ruby on Rails обнаружена критическая уязвимость,
позволяющая выполнить код на сервере


Спустя всего неделю после выявления во фреймворке Ruby on Rails возможности
подстановки SQL-кода, разработчиками проекта представлена очередная порция
обновлений Ruby on Rails 3.2.11, 3.1.10, 3.0.19 и 2.3.15 с устранением
нескольких новых уязвимостей. Одна из проблем помечена как экстремально
опасная, так как позволяет злоумышленнику выполнить свой код на сервере. Всем
пользователям Ruby on Rails рекомендуется как можно скорее обновить свои
системы и проанализировать по логам возможные факты эксплуатации уязвимостей.

CVE-2013-0156 - серия уязвимостей, которая позволяет атакующему выполнить свой
код на сервере, обойти средства аутентификации, осуществить подстановку SQL
кода. Уязвимости вызваны рядом ошибок в коде разбора XML параметров в Action
Pack. Код разбора параметров в Ruby on Rails позволяет приложениям
автоматически приводить значения различных переменных из строкового типа в
представление других типов данных. Некоторые из используемых при таких
операциях преобразований неприменимы при попытке создания Symbols или при
парсинге YAML, и могут быть использованы атакующим для компрометации
Rails-приложений (по сути можно организовать выполнение Ruby-кода, заданного в
XML блоках с параметром type="yaml"). Для атаки злоумышленнику достаточно
отправить специальный POST-запрос к приложению, использующему Rails. Прототип
эксплоита для проверки своих систем на уязвимость можно найти здесь.
В качестве обходного пути защиты рекомендует запретить разбор XML-параметров
через установку опции
"ActionDispatch::ParamsParser::DEFAULT_PARSERS.delete(Mime::XML)" для Rails
3.2, 3.1 и 3.0 или опции
"ActionController::Base.param_parsers.delete(Mime::XML)" для Rails 2.3. Кроме
того, можно отключить разбор поддержки YAML и Symbol в парсере XML;

CVE-2013-0155 - позволяет изменить содержимое некоторых SQL-запросов (можно
изменить запрос для применения условия "IS NULL" или для игнорирования блока
WHERE) при использовании в приложении парсинга параметров JSON средствами
Active Record. Проблема проявляется только в Rails 3.x.

-+-
Обсуждение Линейный вид (Ajax) | Свернуть все | RSS

1.3, Аноним, 19:12, 09/01/2013 [ответить] [смотреть все]
+/?
Уау !!! Эксплоит необычайно красив. Достаточно POST-ом отправить:
<?xml version="1.0" encoding="UTF-8"?>
<bang type="yaml">--- !ruby/object:Time {}
</bang>

и будет выполнен код object:Time
-----


Взято с http://www.opennet.ru/opennews/art.shtml?num=35792


P.S. В случае если стоит веб-сервер nginx то есть обходной манёвр:

set $evil "$content_type $request_method";
if ($evil = "text/xml POST") {
return 404;
}






С уважением. Anton aka Stalker

Linux Registered User #386476
[#*TEAM:*#] [#_Злой СисОп_#] [*Heavy Metal!*] [*_Усачи_*]