Rails 2.3 堆疊上的 Ruby 已更新至 2.3.17。Rails 3.2 堆疊上的 Ruby 已更新至 3.2.12。

Ruby Rack 已更新至 1.1.6。Ruby Rack 已更新至 1.2.8。Ruby Rack 已更新至 1.3.10。Ruby Rack 已更新至 1.4.5。

更新可修正多種安全性問題與錯誤。

- 2.3.17 版的更新 (bnc#803336、bnc#803339) CVE-2013-0276 CVE-2013-0277：

- 3.2.12 版的更新 (bnc#803336) CVE-2013-0276：

- 3.2.12 版的更新 (bnc#803336) CVE-2013-0276：
attr_protected 的問題，其中格式錯誤的輸入可規避防護功能

- 2.3.17 版的更新 (bnc#803336、bnc#803339) CVE-2013-0276 CVE-2013-0277：

- 修正格式錯誤的輸入可能造成規避防護功能的 attr_protected 問題

- 修正序列化屬性 YAML 弱點

- 2.3.17 版的更新 (bnc#803336、bnc#803339) CVE-2013-0276 CVE-2013-0277：

- 修正格式錯誤的輸入可能造成規避防護功能的 attr_protected 問題

- 修正序列化屬性 YAML 弱點

- 3.2.12 版的更新 (bnc#803336) CVE-2013-0276：

- 引用與非數值欄進行比較的數值。否則，在一些資料庫中，會將字串欄值強制性轉為允許 0、0.0 或 false 的數值，以符合以非數字開頭的任何字串。

- 1.1.6 版的更新 (bnc#802794)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 1.2.8 版的更新 (bnc#802794)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 1.3.10 版的更新 (bnc#802794)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 1.4.5 的 ruby rack 更新 (bnc#802794 bnc#802795)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 修正 CVE-2013-0262，Rack::File 中的符號連結路徑遊走

- 1.4.4 的 ruby rack 更新 (bnc#798452)

- [SEC] Rack::Auth::AbstractRequest 不再符號化任意字串 (CVE-2013-0184)

- 來自 1.4.3 的 ruby rack 變更

- 安全性：防止大型 multipart 邊界中的無限制讀取 (CVE-2013-0183)

- 來自 1.4.2 的 ruby rack 變更 (CVE-2012-6109)

- 在使用者不提供工作階段密碼時新增警告

- 修正不具引號檔案名稱的剖析效能

- 更新 URI 反向移植

- 修正 URI 反向移植版本比對，並隱藏不斷出現的警告

- 更正具有空白值的參數剖析

- 更正 rackup '-I' 旗標，以允許多次使用

- 更正 rackup pidfile 處理

- 正確報告 rackup 行數

- 修正具有時間限制之非過時 nonce 造成的要求迴圈

- 修正 Windows 上的重新載入程式

- 防止因 Response#to_ary 造成無限遞迴

- 多種中介軟體更好地符合內文關閉規格

- 更新內文關閉規格的語言

- 關於 ECMA 逸出相容性問題的其他提示

- 修正範圍標頭中多個範圍的剖析

- 防止因空白參數金鑰發生錯誤

- 將 PATCH 動詞新增至 Rack::Request

- 多種文件更新

- 修正工作階段合併語意 (修正 rack-test)

- Rack::Static：索引現可處理多個目錄

- 所有測試現在都會使用 Rack::Lint (特別感謝 Lars Gierth)

- Rack::File cache_control 參數現在已過時，且已由 1.5 移除

- 更正 Rack::Directory 指令碼名稱逸出

- Rack::Static 支援複雜組態的標頭規則

- Multipart 剖析現在會在沒有 Content-Length 標頭的情況下運作

- Zachary Scott 提供的新標誌！

- Rack::BodyProxy 現在會明確定義 #each，其對 C 延伸模組非常有用

- 未進行 URI 逸出的 Cookie 不會再造成例外狀況

Aaron Patterson 報告：

attr_protected 方法允許開發人員指定模型屬性的黑名單，其中不應指派使用者。攻擊者可利用特製的要求，規避此保護機制並修改原本應受到保護的值。

建議所有執行受影響版本的使用者立即升級，或採用任一因應措施。同時建議使用者考量從 attr_protected 改為使用白名單方法 attr_accessible，該方法不易遭受此攻擊。

現已提供 Red Hat OpenShift Enterprise 1.1.1。Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。OpenShift Enterprise 是 Red Hat 的一種雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。安裝更新版套件並重新啟動 OpenShift 服務是此更新的唯一要求。但是，如果您要在套用 OpenShift Enterprise 1.1.1 更新時，將系統更新為 Red Hat Enterprise Linux 6.4，建議您重新啟動系統。如需有關本版本的進一步資訊，請參閱 OpenShift Enterprise 1.1.1 技術提示，此技術提示不久將可從下列網址取得：https://access.redhat.com/knowledge/docs/ 此更新也可修正下列安全性問題：在 rubygem-actionpack 中發現多個跨網站指令碼 (XSS) 缺陷。遠端攻擊者可利用這些缺陷，針對使用 rubygem-actionpack 之應用程式的使用者，進行 XSS 攻擊。(CVE-2012-3463、CVE-2012-3464、CVE-2012-3465) 據發現，特定方法在傳遞檔案名稱至 Ruby 中的較低層常式之前，並未先清理檔案名稱。如果 Ruby 應用程式以未受信任的輸入名稱建立檔案，可導致所建立之檔案的名稱與預期名稱有所不同。(CVE-2012-4522) 在 Ruby 的關聯陣列 (雜湊) 實作中，發現了拒絕服務缺陷。將資料插入陣列時，攻擊者若能對 Ruby 應用程式提供大量輸入 (例如，傳送至網路應用程式的 HTTP POST 要求參數) 作為金鑰使用，便可觸發多個雜湊函式衝突，使陣列作業耗用大量 CPU 時間。為了減輕此問題，已使用一種新的、更能防衝突的演算法，以降低攻擊者成功引發有意衝突的機會。(CVE-2012-5371) 在 rubygem-activerecord 中發現輸入驗證弱點。遠端攻擊者可能會利用這些缺陷，針對使用 rubygem-activerecord 的應用程式，執行 SQL 插入攻擊。(CVE-2012-2661、CVE-2012-2695、CVE-2013-0155) 在 rubygem-actionpack 中發現輸入驗證弱點。遠端攻擊者可能會利用這些缺陷，針對使用 rubygem-actionpack 和 rubygem-activerecord 的應用程式，執行 SQL 插入攻擊。(CVE-2012-2660、CVE-2012-2694) 在 rubygem-actionpack 的 HTTP 摘要式驗證實作中發現一個缺陷。遠端攻擊者可利用此缺陷，在使用 rubygem-actionpack 和摘要式驗證的應用程式上造成拒絕服務。(CVE-2012-3424) 在 Ruby 安全層級 4 的字串處理中發現一個缺陷。遠端攻擊者可利用 Exception#to_s 以破壞性的方式修改未受污染的字串，使其受到污染，之後就可以任意修改該字串。(CVE-2012-4466) 在例外狀況訊息轉譯為「Ruby 例外狀況」類別的字串的方式中發現一個缺陷。遠端攻擊者可利用此缺陷繞過安全層級 4 限制，允許不受信任 (受污染) 的程式碼修改受信任 (未受污染) 的任意字串，以其他方式防止安全層級 4 限制。(CVE-2012-4464) 據發現，rubygem-ruby_parser 的 ruby_parser 以一種不安全的方式建立了暫存檔。本機攻擊者可利用此缺陷執行符號連結攻擊，從而覆寫使用 ruby_parser 之應用程式可存取的任意檔案。(CVE-2013-0162) CVE-2013-0162 問題是由 Red Hat 區域 IT 團隊的 Michael Scherer 所發現的。建議使用者升級至 Red Hat OpenShift Enterprise 1.1.1。

CVE-2013-0276 的修正。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201412-28 中所述的弱點影響 (Ruby on Rails：多個弱點)

在 Ruby on Rails 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可執行任意程式碼，或造成拒絕服務情形。此外，遠端攻擊者可能執行任意 SQL 命令、變更表單輸入的參數名稱並變更系統中的任意記錄、繞過預定的存取限制、轉譯任意檢視、插入任意 web 指令碼或 HTML，或是發動跨網站要求偽造 (CSRF) 攻擊。
 因應措施：

目前尚無已知的因應措施。

遠端主機執行的 Mac OS X 10.6 或 10.7 版本並未套用安全性更新 2013-002。此更新包含下列元件的多個安全性相關修正：

- CoreMedia Playback (僅限 10.7)
 - Directory Service (僅限 10.6)
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby (僅限 10.6)
 - SMB (僅限 10.7)

在 Ruby on Rails (適用於 web 應用程式開發的 Ruby 架構) 中發現兩個弱點。

- CVE-2013-0276 可使用特製的要求繞過 attr_protected 方法提供的黑名單，從而造成應用程式特定的影響。

- CVE-2013-0277 在部分應用程式中，ActiveRecord 的 +serialize+ helper 可能因遭誘騙而還原序列化任意 YAML 資料，從而可能導致遠端程式碼執行。

ID	名稱	產品	系列	已發布	已更新	嚴重性
74900	openSUSE 安全性更新：RubyOnRails (openSUSE-SU-2013:0338-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
64667	FreeBSD：Ruby Activemodel Gem -- 規避 attr_protected (beab40bf-c1ca-4d2b-ad46-2f14bac8a968)	Nessus	FreeBSD Local Security Checks	2013/2/18	2021/1/6	medium
119432	RHEL 6：openshift (RHSA-2013:0582)	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	high
64738	Fedora 18：rubygem-activemodel-3.2.8-2.fc18 (2013-2398)	Nessus	Fedora Local Security Checks	2013/2/21	2021/1/11	medium
79981	GLSA-201412-28：Ruby on Rails：多個弱點	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
66809	Mac OS X 多個弱點 (安全性更新 2013-002)	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	critical
64591	Debian DSA-2620-1 : rails - 數個弱點	Nessus	Debian Local Security Checks	2013/2/13	2021/1/11	critical
64737	Fedora 17：rubygem-activemodel-3.0.11-3.fc17 (2013-2391)	Nessus	Fedora Local Security Checks	2013/2/21	2021/1/11	medium

偵測

搜尋 Plugin

critical

medium

high

medium

critical

critical

critical

medium