Bulletin d'alerte Debian

DSA-2597-1 rails -- Erreur de validation d'entrée

Date du rapport :
4 janvier 2013
Paquets concernés :
rails
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2012-6496, CVE-2012-6497.
Plus de précisions :

joernchen de Phenoelit a découvert que Rails, un environnement de développement web basé sur Ruby, ne traite pas correctement l'entrée fournie par les utilisateurs aux méthodes find_by_*. Suivant la façon dont l'application Ruby on Rails utilise ces méthodes, cela permet à un attaquant de réaliser des attaques par injection SQL, par exemple, pour contourner l'authentification si Authlogic est utilisée et que le jeton secret de la session est connu.

Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.3.5-1.2+squeeze4.

Pour la distribution testing (Wheezy), ce problème sera corrigé prochainement.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 2.3.14-3 de ruby-activerecord-2.3.

Nous vous recommandons de mettre à jour vos paquets rails/ruby-activerecord-2.3.