Новости

В Ruby on Rails устранена очередная критическая уязвимость


Разработчики устранили опасную уязвимость в Ruby on Rails, которая позволяла выполнение произвольного кода на системе.

Разработчики популярного фреймворка выпустили очередное исправление безопасности, устраняющее критическую уязвимость в обработчике JSON данных. Уязвимость позволяет злоумышленнику выполнить произвольный код на системе с помощью специально сформированного HTTP POST запроса, содержащего JSON код с YAML вставкой.

Уязвимость распространяется на версии Ruby on Rails 3.0.19 или 2.3.15. Более ранние версии также могут быть подвержены этой уязвимости.
Подробное описание уязвимости доступно по адресу:  http://www.securitylab.ru/vulnerability/436884.php

PoC код в виде модуля к Metasploit Framework можно просмотреть здесь .

Напомним, что несколько недель тому в сети появился эксплоит, использующий уязвимость в XML обработчике Ruby on Rails. Таким образом это вторая опасная уязвимость в фреймворке за январь текущего года. В прошлом году для Ruby on Rails SecurityLab.ru выпустил 5 уведомлений безопасности, в которых были описаны 10 уязвимостей. Ни одна из уязвимостей в 2012 году не претендовала на высокий рейтинг опасности.

SecurityLab.ru рекомендует своим читателям установить последнюю версию программного обеспечения 3.0.20 или 2.3.16 с сайта производителя.




или введите имя





                                                                                                                                                                                                                                               

Блоги
30.10.2014
<Без имени>
Вчера коллеги из УЦ Информзащита целиком и полностью обозрелимой постпо порядку внутреннего расследо...
30.10.2014
<Без имени>
Увлекательные видео как получать деньги из банкоматов не беспокоясь о pin-коде и даже наличии кредит...
29.10.2014
<Без имени>
CISM Certification Committee:"Dear Mr. Andrey Prozorov, CISM RE: CISM certification number: 142...
29.10.2014
<Без имени>
Если утечка информации произошла – худшее, что можно делать, это попытаться «заткнуть рот» всем, кт...
29.10.2014
<Без имени>
Добрый день, коллеги! Сегодня я хочу представить Вам третью статью из цикла "Персональные данн...
28.10.2014
<Без имени>
Как известно, сегодня информационный безопасник - это иммам, толкующий волю Регулятора пастве. Время...
28.10.2014
<Без имени>
В интернете можно найти много ресурсов, называющих себя “антивирусами” или сервисами мониторинга без...
27.10.2014
<Без имени>
Часто возникают вопросы - как оно тут и как оно здесь? В чем разница между маркетингом/"толканием ло...
27.10.2014
<Без имени>
Сегодня в глазах общества утечка информации является чем-то однозначно негативным. Если таковая вс...
26.10.2014
<Без имени>
Доброе утро, коллеги! 14 июля вышло Постановление Правительства "О проведении в 2014-2015 годах эксп...


Подписка
Подпишитесь на получение последних материалов по безопасности от SecurityLab.ru, новости, статьи, обзоры уязвимостей и мнения аналитиков.
 Ежедневный выпуск
 Еженедельный выпуск