2016-0404: Ruby on Rails: Zwei Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2016-03-08 17:29)

Neues Advisory

Version 2 (2016-03-10 10:49)

Debian stellt für die Distributionen Jessie (stable) und Stretch (testing) Sicherheitsupdates bereit.

Version 3 (2016-03-21 12:14)

Für openSUSE 13.2 steht ein Sicherheitsupdate für das Paket rubygem-actionpack-3_2 bereit.

Version 4 (2016-03-23 09:56)

Für SUSE OpenStack Cloud 5 steht ein Sicherheitsupdate für das Paket rubygem-actionview-4_1 bereit.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Zwei Schwachstellen in Action Pack von Ruby on Rails ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes und das Ausspähen von Informationen über ungeprüfte Benutzereingaben an die 'render'-Funktion.

Rails Security stellt mit den Versionen Rails 4.2.5.2, 4.1.14.2 und 3.2.22.2 Sicherheitsupdates für die einzelnen Versionszweige bereit, die diese Schwachstellen beheben. Zusätzlich ist der Versionszweig 4.0.x betroffen. Rails ist ab Versionszweig 4.2.x nicht mehr von CVE-2016-2097 betroffen.

Für die Distributionen Fedora 22 und 23 stehen mit den Paketen rubygem-actionpack-4.2.0-4.fc22, rubygem-actionview-4.2.0-5.fc22 und rubygem-actionpack-4.2.3-5.fc23 sowie rubygem-actionview-4.2.3-5.fc23 Sicherheitsupdates im Status 'pending' bereit, um die Schwachstelle CVE-2016-2098 zu beheben.

Schwachstellen:

CVE-2016-2097

Schwachstelle in RubyGem Action Pack ermöglicht Ausspähen von Informationen

CVE-2016-2098

Schwachstelle in RubyGem Action Pack ermöglicht Ausführung beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.