安全研究

安全漏洞
Ruby on Rails 远程安全绕过漏洞(CVE-2013-0276)

发布日期:2013-02-11
更新日期:2013-03-06

受影响系统:
Ruby on Rails Ruby on Rails 3.2.x
Ruby on Rails Ruby on Rails 3.1.x
Ruby on Rails Ruby on Rails 2.3.x
描述:
BUGTRAQ  ID: 57896
CVE(CAN) ID: CVE-2013-0276

Ruby on Rails简称RoR或Rails,是一个使用Ruby语言写的开源Web应用框架,它是严格按照MVC结构开发的。

Ruby on Rails 3.2.12, 3.1.11, 2.3.17之前版本在ActiveRecord的 "attr_protected" 方法中存在错误,没有正确限制访问模块属性的黑名单,通过特制的请求,可导致非法修改某些值。

<*来源:Phenoelit
  
  链接:http://www.openwall.com/lists/oss-security/2013/02/11/5
        http://www.osvdb.org/90072
        http://www.osvdb.org/90072
*>

建议:
厂商补丁:

Ruby on Rails
-------------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

http://www.rubyonrails.com/

浏览次数:3894
严重程度:0(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障