Avis du CERT-FR
Objet : Multiples vulnérabilités dans Ruby on Rails
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
- Ruby on Rails 2.3.x ;
- Ruby on Rails 3.0.x.
Résumé
De multiples vulnérabilités présentes dans le produit Ruby on Rails ont été corrigées. Elles permettent le contournement de la politique de sécurité, l'injection de code SQL et l'injection de code HTML dans une réponse.
Description
De multiples vulnérabilités présentes dans le produit Ruby on Rails ont été corrigées. Ces vulnérabilités permettent notamment :
- le rendu de vues de données normalement inaccessibles à l'utilisateur ;
- l'injection de code dans les requêtes SQL ;
- l'injection de code javascript dans les réponses HTML ;
- l'envoi de chaînes Unicode malformées dans les réponses HTML.
Solution
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Note : une mise à jour pour la version 3.1 RC est également disponible.
Documentation
-
Annonce de publication Ruby on Rails 2.3.14 :
http://weblog.rubyonrails.org/2011/8/16/ann-rails-2-3-14 -
Annonce de publication Ruby on Rails 3.0.10 :
http://weblog.rubyonrails.org/2011/8/16/ann-rails-3-0-10 -
Bulletin de sécurité Debian DSA 2301-1 du 5 septembre 2011 :
http://www.debian.org/security/2011/dsa-2301 -
Bulletin de sécurité Fedora FEDORA-2011-11567 du 7 septembre 2011 :
http://lists.fedoraproject.org/pipemail/package-announce/2011-Septembre/065137.html -
Secunia Advisory SA45648 :
http://secunia.com/advisories/45648/ -
Référence CVE CVE-2011-2929
https://www.cve.org/CVERecord?id=CVE-2011-2929 -
Référence CVE CVE-2011-2930
https://www.cve.org/CVERecord?id=CVE-2011-2930 -
Référence CVE CVE-2011-2931
https://www.cve.org/CVERecord?id=CVE-2011-2931 -
Référence CVE CVE-2011-2932
https://www.cve.org/CVERecord?id=CVE-2011-2932 -
Référence CVE CVE-2011-3186
https://www.cve.org/CVERecord?id=CVE-2011-3186
Gestion détaillée du document
| Date | Description |
|---|---|
| 18 août 2011 | version initiale. |
| 23 août 2011 | ajout des références CVE. |
| 14 septembre 2011 | ajout des références aux bulletins Debian et Fedora. |
| 16 septembre 2011 | ajout d'une référence CVE. |