Rails 2.3 堆疊上的 Ruby 已更新至 2.3.17。Rails 3.2 堆疊上的 Ruby 已更新至 3.2.12。

Ruby Rack 已更新至 1.1.6。Ruby Rack 已更新至 1.2.8。Ruby Rack 已更新至 1.3.10。Ruby Rack 已更新至 1.4.5。

更新可修正多種安全性問題與錯誤。

- 2.3.17 版的更新 (bnc#803336、bnc#803339) CVE-2013-0276 CVE-2013-0277：

- 3.2.12 版的更新 (bnc#803336) CVE-2013-0276：

- 3.2.12 版的更新 (bnc#803336) CVE-2013-0276：
attr_protected 的問題，其中格式錯誤的輸入可規避防護功能

- 2.3.17 版的更新 (bnc#803336、bnc#803339) CVE-2013-0276 CVE-2013-0277：

- 修正格式錯誤的輸入可能造成規避防護功能的 attr_protected 問題

- 修正序列化屬性 YAML 弱點

- 2.3.17 版的更新 (bnc#803336、bnc#803339) CVE-2013-0276 CVE-2013-0277：

- 修正格式錯誤的輸入可能造成規避防護功能的 attr_protected 問題

- 修正序列化屬性 YAML 弱點

- 3.2.12 版的更新 (bnc#803336) CVE-2013-0276：

- 引用與非數值欄進行比較的數值。否則，在一些資料庫中，會將字串欄值強制性轉為允許 0、0.0 或 false 的數值，以符合以非數字開頭的任何字串。

- 1.1.6 版的更新 (bnc#802794)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 1.2.8 版的更新 (bnc#802794)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 1.3.10 版的更新 (bnc#802794)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 1.4.5 的 ruby rack 更新 (bnc#802794 bnc#802795)

- 修正 CVE-2013-0263 (對 Rack::Session::Cookie 的定時攻擊)

- 修正 CVE-2013-0262，Rack::File 中的符號連結路徑遊走

- 1.4.4 的 ruby rack 更新 (bnc#798452)

- [SEC] Rack::Auth::AbstractRequest 不再符號化任意字串 (CVE-2013-0184)

- 來自 1.4.3 的 ruby rack 變更

- 安全性：防止大型 multipart 邊界中的無限制讀取 (CVE-2013-0183)

- 來自 1.4.2 的 ruby rack 變更 (CVE-2012-6109)

- 在使用者不提供工作階段密碼時新增警告

- 修正不具引號檔案名稱的剖析效能

- 更新 URI 反向移植

- 修正 URI 反向移植版本比對，並隱藏不斷出現的警告

- 更正具有空白值的參數剖析

- 更正 rackup '-I' 旗標，以允許多次使用

- 更正 rackup pidfile 處理

- 正確報告 rackup 行數

- 修正具有時間限制之非過時 nonce 造成的要求迴圈

- 修正 Windows 上的重新載入程式

- 防止因 Response#to_ary 造成無限遞迴

- 多種中介軟體更好地符合內文關閉規格

- 更新內文關閉規格的語言

- 關於 ECMA 逸出相容性問題的其他提示

- 修正範圍標頭中多個範圍的剖析

- 防止因空白參數金鑰發生錯誤

- 將 PATCH 動詞新增至 Rack::Request

- 多種文件更新

- 修正工作階段合併語意 (修正 rack-test)

- Rack::Static：索引現可處理多個目錄

- 所有測試現在都會使用 Rack::Lint (特別感謝 Lars Gierth)

- Rack::File cache_control 參數現在已過時，且已由 1.5 移除

- 更正 Rack::Directory 指令碼名稱逸出

- Rack::Static 支援複雜組態的標頭規則

- Multipart 剖析現在會在沒有 Content-Length 標頭的情況下運作

- Zachary Scott 提供的新標誌！

- Rack::BodyProxy 現在會明確定義 #each，其對 C 延伸模組非常有用

- 未進行 URI 逸出的 Cookie 不會再造成例外狀況

CVE-2013-0277 的修正。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-201412-28 中所述的弱點影響 (Ruby on Rails：多個弱點)

在 Ruby on Rails 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可執行任意程式碼，或造成拒絕服務情形。此外，遠端攻擊者可能執行任意 SQL 命令、變更表單輸入的參數名稱並變更系統中的任意記錄、繞過預定的存取限制、轉譯任意檢視、插入任意 web 指令碼或 HTML，或是發動跨網站要求偽造 (CSRF) 攻擊。
 因應措施：

目前尚無已知的因應措施。

遠端主機執行的 Mac OS X 10.6 或 10.7 版本並未套用安全性更新 2013-002。此更新包含下列元件的多個安全性相關修正：

- CoreMedia Playback (僅限 10.7)
 - Directory Service (僅限 10.6)
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby (僅限 10.6)
 - SMB (僅限 10.7)

在 Ruby on Rails (適用於 web 應用程式開發的 Ruby 架構) 中發現兩個弱點。

- CVE-2013-0276 可使用特製的要求繞過 attr_protected 方法提供的黑名單，從而造成應用程式特定的影響。

- CVE-2013-0277 在部分應用程式中，ActiveRecord 的 +serialize+ helper 可能因遭誘騙而還原序列化任意 YAML 資料，從而可能導致遠端程式碼執行。

ID	名稱	產品	系列	已發布	已更新	嚴重性
74900	openSUSE 安全性更新：RubyOnRails (openSUSE-SU-2013:0338-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
64734	Fedora 17 : rubygem-activerecord-3.0.11-6.fc17 (2013-2351)	Nessus	Fedora Local Security Checks	2013/2/21	2021/1/11	critical
79981	GLSA-201412-28：Ruby on Rails：多個弱點	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
66809	Mac OS X 多個弱點 (安全性更新 2013-002)	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	critical
64591	Debian DSA-2620-1 : rails - 數個弱點	Nessus	Debian Local Security Checks	2013/2/13	2021/1/11	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical