Bulletin d'alerte Debian

DSA-2301-2 rails -- Plusieurs vulnérabilités

Date du rapport :

23 janvier 2012

Paquets concernés :

rails

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2011-2930, CVE-2011-2931, CVE-2011-3186, CVE-2009-4214.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans Rails, le cadre de travail d'application web en Ruby. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

CVE-2009-4214
Une vulnérabilité de script intersite (XSS) a été découverte dans la fonction strip_tags. Un attaquant pourrait injecter des caractères non imprimables que certains navigateurs évalueraient alors. Celle vulnérabilité ne concerne que la distribution oldstable (Lenny).
CVE-2011-2930
Une vulnérabilité d'injection SQL a été découverte dans la méthode quote_table_name. Cela pourrait permettre à des utilisateurs malveillants d'injecter du SQL arbitraire dans une requête.
CVE-2011-2931
Une vulnérabilité de script intersite (XSS) a été découverte dans l'assistant strip_tags. Une erreur d'analyse peut être exploitée par un attaquant, qui peut tromper l'analyseur et pourrait injecter des étiquettes HTML dans un document en sortie.
CVE-2011-3186
Une vulnérabilité d'injection de fin de ligne (CRLF) a été trouvée dans response.rb. Cette vulnérabilité permet à un attaquant d'injecter des en-têtes HTTP arbitraires et de réaliser des attaques de séparation de réponse HTTP à l'aide de l'en-tête Content-Type.

Pour la distribution oldstable (Lenny), ce problème a été corrigé dans la version 2.1.0-7+lenny2.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.3.5-1.2+squeeze2.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 2.3.14.

Nous vous recommandons de mettre à jour vos paquets rails.