Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Red Hat Subscription Asset Manager 1.4
Ruby on Rails <= 2.3.17 Ruby on Rails <= 3.1.11 Ruby on Rails <= 3.2.17 Ruby on Rails <= 4.0.4 Ruby on Rails <= 4.1.0 Betroffene Plattformen: Red Hat Enterprise Linux 6 Mehrere Schwachstellen in der Ruby on Rails Komponente des Red Hat Subscription Asset Manager ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausspähen von Informationen, die Durchführung von Denial-of-Service-Angriffen oder von Cross-Site-Scripting-Angriffen. Patch: Red Hat Security Advisory RHSA-2014:1863 http://rhn.redhat.com/errata/RHSA-2014-1863.html

CVE-2014-0130: Schwachstelle in Ruby on Rails erlaubt Ausspähen von
Information

Es existiert eine Directory-Traversal-Schwachstelle in
“actionpack/lib/abstract_controller/base.rb” in der
Implicit-Render-Implementation in Ruby on Rails. Diese Schwachstelle kann
ausgenutzt werden, wenn bestimmte Route-Globbing-Konfigurationen aktiviert
sind. Ein entfernter, nicht authentifizierter Angreifer kann durch eine
speziell präparierte Anfrage beliebige Dateien lesen.

CVE-2013-4491: XSS durch Internationalisierungskomponente von Ruby on Rails

Unter gewissen Umständen liefert die i18n-Komponente von Ruby on Rails HTML
mit eingearbeiteten Benutzereingaben aus. Ein entfernter, nicht
authentifizierter Angreifer kann diesen Fehler bei einer Anwendung, die die
Komponente nutzt, zu einem XSS-Angriff verwenden, indem aktiver Code oder
HTML in das generierte HTML eingebettet werden.

CVE-2013-6415: XSS durch number_to_currency

Unter gewissen Umständen liefert der number_to_currency-Helper von Ruby on
Rails HTML mit eingearbeiteten Benutzereingaben aus. Hierbei werden
Benutzereingaben nicht korrekt gefiltert. Ein entfernter, nicht
authentifizierter Angreifer kann diesen Fehler bei einer Anwendung, die die
Komponente nutzt, zu einem XSS-Angriff verwenden. Hierzu wird aktiver Code
oder HTML in das generierte HTML eingebettet.

CVE-2013-6414: Denial-of-Service bei Action View

Die Verarbeitung von Headern durch Action View
(actionpack/lib/action_view/lookup_context.rb) führt bei ungültigen
MIME-Typen zu einem exzessiven Caching mit sehr hohem Speicherverbrauch.
Entfernte, nicht authentifizierte Angreifer können durch Manipulation der
Header-Angaben eine unbegrenzte Speicherung der Angaben im Cache erreichen.
Durch den Speicherverbrauch kommt es zu einem Denial-of-Service.

CVE-2013-1854: Schwachstelle in Ruby on Rails erlaubt Denial-of-Service

Eine Schwachstelle in ActiveRecord in Ruby on Rails der Version 2.3.x vor
Version 2.3.18, 3.1.x vor Version 3.1.12 und 3.2.x vor Version 3.2.13
besteht darin, das bestimmte Anfragen verarbeitet werden, indem Hash-Keys
fälschlicherweise in Symbole konvertiert werden. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um einen
Denial-of-Service-Angriff durchzuführen.

CVE-2013-1855: Schwachstelle in Ruby on Rails erlaubt Cross-Site-Scripting

Eine Schwachstelle im Ruby on Rails ActionPack in der Funktion
sanitize_css() in der Datei
‘lib/action_controller/vendor/html-scanner/html/sanitizer.rb’ führt dazu,
dass das Zeichen ‘\n’ nicht fehlerfrei verarbeitet wird. Dies ermöglicht
einem entfernten, nicht authentifizierten Angreifer einen
Cross-Site-Scripting-Angriff durchzuführen.

CVE-2013-1857: Schwachstelle in Ruby on Rails erlaubt Cross-Site-Scripting

Eine Schwachstelle im Ruby on Rails ActionPack in der Funktion
sanitize_css() in der Datei
‘lib/action_controller/vendor/html-scanner/html/sanitizer.rb’ führt dazu,
dass das Zeichen ‘:’ in URLs nicht fehlerfrei verarbeitet wird. Dies
ermöglicht einem entfernten, nicht authentifizierten Angreifer einen
Cross-Site-Scripting-Angriff durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1502/

Schwachstelle CVE-2013-1854 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-1854

Schwachstelle CVE-2013-1855 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-1855

Schwachstelle CVE-2013-1857 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-1857

Schwachstelle CVE-2013-4491 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4491

Schwachstelle CVE-2013-6414 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6414

Schwachstelle CVE-2013-6415 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6415

Schwachstelle CVE-2014-0130 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0130

Red Hat Security Advisory RHSA-2014:1863:
http://rhn.redhat.com/errata/RHSA-2014-1863.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.