Risque
- Contournement de la politique de sécurité ;
- atteinte à l'intégrité des données ;
- injection de code indirecte à distance.
Systèmes affectés
- Ruby on Rails 2.3.x ;
- Ruby on Rails 3.0.x.
Résumé
De multiples vulnérabilités présentes dans le produit Ruby on Rails ont été corrigées. Elles permettent le contournement de la politique de sécurité, l'injection de code SQL et l'injection de code HTML dans une réponse.
Description
De multiples vulnérabilités présentes dans le produit Ruby on Rails ont été corrigées. Ces vulnérabilités permettent notamment :
- le rendu de vues de données normalement inaccessibles à l'utilisateur ;
- l'injection de code dans les requêtes SQL ;
- l'injection de code javascript dans les réponses HTML ;
- l'envoi de chaînes Unicode malformées dans les réponses HTML.
Solution
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Note : une mise à jour pour la version 3.1 RC est également disponible.
Documentation
- Annonce de publication Ruby on Rails 2.3.14 :
http://weblog.rubyonrails.org/2011/8/16/ann-rails-2-3-14
- Annonce de publication Ruby on Rails 3.0.10 :
http://weblog.rubyonrails.org/2011/8/16/ann-rails-3-0-10
- Secunia Advisory SA45648 :
http://secunia.com/advisories/45648/
- Bulletin de sécurité Debian DSA 2301-1 du 5 septembre 2011 :
http://www.debian.org/security/2011/dsa-2301
- Bulletin de sécurité Fedora FEDORA-2011-11567 du 7 septembre 2011 :
http://lists.fedoraproject.org/pipemail/package-announce/2011-Septembre/065137.html
- Référence CVE CVE-2011-292
https://www.cve.org/CVERecord?id=CVE-2011-2929
- Référence CVE CVE-2011-2930
https://www.cve.org/CVERecord?id=CVE-2011-2930
- Référence CVE CVE-2011-2931
https://www.cve.org/CVERecord?id=CVE-2011-2931
- Référence CVE CVE-2011-2932
https://www.cve.org/CVERecord?id=CVE-2011-2932
- Référence CVE CVE-2011-3186
https://www.cve.org/CVERecord?id=CVE-2011-3186