遠端主機受到 GLSA-201412-28 中所述的弱點影響 (Ruby on Rails：多個弱點)

在 Ruby on Rails 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可執行任意程式碼，或造成拒絕服務情形。此外，遠端攻擊者可能執行任意 SQL 命令、變更表單輸入的參數名稱並變更系統中的任意記錄、繞過預定的存取限制、轉譯任意檢視、插入任意 web 指令碼或 HTML，或是發動跨網站要求偽造 (CSRF) 攻擊。
 因應措施：

目前尚無已知的因應措施。

更新至 Rails 3.0.10，可修正數個安全性錯誤。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

已在 Ruby web 應用程式架構 Rails 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2009-4214 在 strip_tags 函式中發現一個跨網站指令碼 (XSS) 弱點。攻擊者可能插入不可列印字元，而後特定瀏覽器可評估這些字元。此弱點只會影響舊的穩定發行版本 (lenny)。

- CVE-2011-2930 在 quote_table_name 方法中發現一個 SQL 插入弱點，可允許惡意使用者在查詢中插入任意 SQL。

- CVE-2011-2931 在 strip_tags helper 中發現一個跨網站指令碼 (XSS) 弱點。攻擊者可惡意利用剖析錯誤，造成剖析器混淆，且可能在輸出文件中插入 HTML 標籤。

- CVE-2011-3186 在 response.rb 中發現一個新行 (CRLF) 插入弱點。此弱點允許攻擊者透過 Content-Type 標頭，插入任意 HTTP 標頭並執行 HTTP 回應分割攻擊。

此 Rails 更新可修正下列安全性問題：

CVE-2011-2930 - 透過特製的欄名稱在 quote_table_name 函式中產生的 SQL-injection (bnc#712062) CVE-2011-2931 - strip_tags 協助程式中的跨網站指令碼 (XSS) (bnc#712057) CVE-2011-3186 - 回應分割 (bnc#712058) CVE-2010-3933 - 透過特製的表單參數任意修改記錄 (bnc#712058) CVE-2011-0446 - mail_to 協助程式中的跨網站指令碼 (XSS) (bnc#668817) CVE-2011-0447 - 對「X-Requested-With」標頭進行錯誤驗證 (bnc#668817) CVE-2011-0448 - 因對於 limit 函式進行的錯誤清理引數而造成 SQL-injection (bnc#668817) CVE-2011-0449 - 透過特製的動作名稱繞過存取限制 (bnc#668817)

ID	名稱	產品	系列	已發布	已更新	嚴重性
79981	GLSA-201412-28：Ruby on Rails：多個弱點	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
56097	Fedora 16 : rubygem-actionmailer-3.0.10-1.fc16 / rubygem-actionpack-3.0.10-1.fc16 / etc (2011-11386)	Nessus	Fedora Local Security Checks	2011/9/7	2021/1/11	high
56074	Debian DSA-2301-2 : rails - 數個弱點	Nessus	Debian Local Security Checks	2011/9/6	2021/1/11	high
76016	openSUSE 安全性更新：rubygem-actionmailer (openSUSE-SU-2011:1305-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
75730	openSUSE 安全性更新：rubygem-actionmailer (openSUSE-SU-2011:1305-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	high

偵測

搜尋 Plugin

critical

high

high

high

high