Рекомендация Debian по безопасности

DSA-2597-1 rails -- ошибка проверки ввода

Дата сообщения:
04.01.2013
Затронутые пакеты:
rails
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2012-6496, CVE-2012-6497.
Более подробная информация:

joernchen из Phenoelit обнаружил, что rails, инфраструктура на базе ruby для разработки веб-приложений, неправильно интерпретирует пользовательский ввод в методы find_by_*. В зависимости от того, как приложение ruby on rails использует эти методы, эта уязвимость позволяет атакующему выполнять инъекции SQL, напр., для обхода авторизации в том случае, если используется Authlogic, и известен секретный токен сессии.

В стабильном выпуске (squeeze) эта проблема была исправлена в версии 2.3.5-1.2+squeeze4.

В тестируемом выпуске (wheezy) эта проблема будет исправлена позже.

В нестабильном выпуске (sid) эта проблема была исправлена в версии 2.3.14-3 пакета ruby-activerecord-2.3.

Рекомендуется обновить пакеты rails/ruby-activerecord-2.3.