—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.

CVE-2011-2930 – SQL Injection Schwachstellen in Ruby on Rails

In Ruby on Rails vor Version 3.0.10 bzw. 2.3.13 bzw. 3.1.0.rc5 werden in
der Funktion quote_table() in den ActiveRecord Adaptern
(activerecord/lib/active_record/connection_adapters/) uebergebene
Eingaben fuer SQL-Spaltennamen nicht richtig bereinigt. Ein entfernter
Angreifer kann dies ausnutzen, um beliebige SQL-Befehle mithilfe eines
praeparierten Spaltennamens auszufuehren.

CVE-2011-2932 – Cross-site Scripting Schwachstellen in Ruby on Rails

Im Code von output_safety.rb in Ruby on Rails existiert eine Cross-site
Scripting Schwachstelle aufgrund der fehlerhaften Verarbeitung von
Unicode-Zeichen. Einem entfernten Angreifer erlaubt dies durch
praeparierte Unicode-Strings beliebige HTML- und JavaScript-Befehle im
Browser anderer Benutzer zur Ausfuehrung zu bringen (Cross-site
Scripting).

CVE-2011-2931 – Cross-site Scripting Schwachstellen in Ruby on Rails

In Ruby on Rails vor Version 3.0.10 bzw. 2.3.13 bzw. 3.1.0rc5 besteht
ein Fehler in der Funktion strip_tags(), welche alle HTML-Elemente aus
einer Zeichenkette entfernen soll. Einem entfernten Angreifer erlaubt
dies durch praeparierte HTML-Tags beliebige HTML- und JavaScript-Befehle
im Browser anderer Benutzer zur Ausfuehrung zu bringen (Cross-site
Scripting).

CVE-2011-2929 – Schwachstelle in Ruby on Rails

Im Code der Template-Selektion in Ruby on Rails werden Glob-Zeichen
unsicher verarbeitet. Ein entfernter Angreifer kann diese Schwachstelle
mittels einer speziell konstruierten URL ausnutzen, um Views zu rendern,
auf die er kein Zugriff haben sollte.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket rubygem-activesupport, rubygem-actionpack, rubygem-activemodel,
rubygem-actionmailer, rubygem-activerecord, rubygem-rails,
rubygem-railties

Fedora 16

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Michael Groening, DFN-CERT
– —

Michael Groening (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen https://www.cert.dfn.de/autowarn

– ——————————————————————————–
Fedora Update Notification
FEDORA-2011-11386
2011-08-23 13:28:29
– ——————————————————————————–

Name : rubygem-activemodel
Product : Fedora 16
Version : 3.0.10
Release : 1.fc16
URL : http://www.rubyonrails.org
Summary : A toolkit for building modeling frameworks
Description :
Rich support for attributes, callbacks, validations, observers,
serialization, internationalization, and testing. It provides a known
set of interfaces for usage in model classes. It also helps building
custom ORMs for use outside of the Rails framework.

– ——————————————————————————–
Update Information:

Update to Rails 3.0.10 which fixes several security bugs.
– ——————————————————————————–
References:

[ 1 ] Bug #731436 – CVE-2011-2931 rubygem-actionpack: XSS vulnerability in strip_tags helper (Ruby on Rails)
https://bugzilla.redhat.com/show_bug.cgi?id=731436
[ 2 ] Bug #731432 – CVE-2011-2929 rubygem-actionpack: filter skipping vulnerability (Ruby on Rails)
https://bugzilla.redhat.com/show_bug.cgi?id=731432
[ 3 ] Bug #731438 – CVE-2011-2930 rubygem-activerecord: SQL injection vulnerability in quote_table_name (Ruby on Rails)
https://bugzilla.redhat.com/show_bug.cgi?id=731438
[ 4 ] Bug #731435 – CVE-2011-2932 rubygem-activesupport: XSS vulnerability in escaping function (Ruby on Rails)
https://bugzilla.redhat.com/show_bug.cgi?id=731435
– ——————————————————————————–

This update can be installed with the “yum” update program. Use
su -c ‘yum update rubygem-activemodel’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.

All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–

—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)

iQEcBAEBAgAGBQJOZ17LAAoJEJtyb8U7iGZBaygH+wR4iMA3tpmPhgR2bkLQjtWf
aZwtU4nWzVfXTSI+tVXMOxcNW2q96alTFnlDBMFi8CI5rXf2M9pTRBHoaqsOTDf7
UdlH6BFDGGW6jL98WgMwFePY9c5D1L+cf9b1nQSoUHY2wDcqFxdmnNNJjBhFmoLe
H3JfHznHAf6z0xBq4eBNiJh7JdGImpNCvB7Groehnfv+Y4aTOzIqQbJ1VouGIVmq
CaK9viEadtqrupW8ToANNe4RbQ1MfTPBcQ2skh7tZ52Z8RPpUbssKvhFl4mUT6bo
XXtQqjJRSxLkRl3AaiQ/DgW7HhjFr72MZGgc61E5OqQC/nmkuEVUeEsyRNDSSoM=
=Hi4o
—–END PGP SIGNATURE—–