Bulletin d'alerte Debian

DSA-2301-2 rails -- Plusieurs vulnérabilités

Date du rapport :
23 janvier 2012
Paquets concernés :
rails
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2011-2930, CVE-2011-2931, CVE-2011-3186, CVE-2009-4214.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans Rails, le cadre de travail d'application web en Ruby. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2009-4214

    Une vulnérabilité de script intersite (XSS) a été découverte dans la fonction strip_tags. Un attaquant pourrait injecter des caractères non imprimables que certains navigateurs évalueraient alors. Celle vulnérabilité ne concerne que la distribution oldstable (Lenny).

  • CVE-2011-2930

    Une vulnérabilité d'injection SQL a été découverte dans la méthode quote_table_name. Cela pourrait permettre à des utilisateurs malveillants d'injecter du SQL arbitraire dans une requête.

  • CVE-2011-2931

    Une vulnérabilité de script intersite (XSS) a été découverte dans l'assistant strip_tags. Une erreur d'analyse peut être exploitée par un attaquant, qui peut tromper l'analyseur et pourrait injecter des étiquettes HTML dans un document en sortie.

  • CVE-2011-3186

    Une vulnérabilité d'injection de fin de ligne (CRLF) a été trouvée dans response.rb. Cette vulnérabilité permet à un attaquant d'injecter des en-têtes HTTP arbitraires et de réaliser des attaques de séparation de réponse HTTP à l'aide de l'en-tête Content-Type.

Pour la distribution oldstable (Lenny), ce problème a été corrigé dans la version 2.1.0-7+lenny2.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.3.5-1.2+squeeze2.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 2.3.14.

Nous vous recommandons de mettre à jour vos paquets rails.