Säkerhetsbulletin från Debian

DSA-2597-1 rails -- felaktig validering av indata

Rapporterat den:
2013-01-04
Berörda paket:
rails
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2012-6496, CVE-2012-6497.
Ytterligare information:

joernchen från Phenoelit upptäckte att rails, ett MVC-rubybaserat ramverk utformat för utveckling av webbapplikationer, inte hanterar användartillhandahållna indata till find_by_*-metoder. Beroende på hur ruby-on-rails-applikationer utnyttjar dessa metoder, tillåter detta en angripare att utföra SQL-injektionsangrepp, t.ex. för att komma förbi autentisering om Authlogic används och den hemliga sessionssymbolen är känd.

För den stabila utgåvan (Squeeze) har detta problem rättats i version 2.3.5-1.2+squeeze4.

För uttestningsutgåvan (Wheezy), kommer detta problem rättas inom kort.

För den instabila utgåvan (Sid) har detta problem rättats i ruby-activerecord-2.3 version 2.3.14-3.

Vi rekommenderar att ni uppgraderar era rails/ruby-activerecord-2.3-paket.