S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 18 août 2011
N° CERTA-2011-AVI-459-003
Affaire suivie par: CERT-FR
le 18 août 2011

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Ruby on Rails

Gestion du document

Référence CERTA-2011-AVI-459-003
Titre Multiples vulnérabilités dans Ruby on Rails
Date de la première version 18 août 2011
Date de la dernière version 16 septembre 2011
Source(s) Annonces de mises à jour de sécurité de Ruby on Rails du 16 août 2011
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Contournement de la politique de sécurité ;
  • atteinte à l'intégrité des données ;
  • injection de code indirecte à distance.

Systèmes affectés

  • Ruby on Rails 2.3.x ;
  • Ruby on Rails 3.0.x.

Résumé

De multiples vulnérabilités présentes dans le produit Ruby on Rails ont été corrigées. Elles permettent le contournement de la politique de sécurité, l'injection de code SQL et l'injection de code HTML dans une réponse.

Description

De multiples vulnérabilités présentes dans le produit Ruby on Rails ont été corrigées. Ces vulnérabilités permettent notamment :

  • le rendu de vues de données normalement inaccessibles à l'utilisateur ;
  • l'injection de code dans les requêtes SQL ;
  • l'injection de code javascript dans les réponses HTML ;
  • l'envoi de chaînes Unicode malformées dans les réponses HTML.

Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Note : une mise à jour pour la version 3.1 RC est également disponible.

Documentation

Gestion détaillée du document

    le 18 août 2011
    version initiale.
    le 23 août 2011
    ajout des références CVE.
    le 14 septembre 2011
    ajout des références aux bulletins Debian et Fedora.
    le 16 septembre 2011
    ajout d'une référence CVE.