DFN-CERT-2014-0570 Ruby on Rails: Eine Schwachstelle ermöglicht das Ausspähen von Informationen [Linux][Fedora]

- 08. Mai 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Ruby on Rails <= 4.1.0 Beta1 Betroffene Plattformen: Red Hat Fedora 19 Red Hat Fedora 20 Durch eine Schwachstelle in Ruby on Rails ist es einem entfernten, nicht authentifizierten Angreifer möglich beliebige Dateien zu lesen. Patch: Fedora Security Update FEDORA-2014-6098 https://admin.fedoraproject.org/updates/FEDORA-2014-6098/rubygem-actionpack-4.0.0-4.fc20

Patch:

Fedora Security Update FEDORA-2014-6127

https://admin.fedoraproject.org/updates/FEDORA-2014-6127/rubygem-actionpack-3.2.13-6.fc19

CVE-2014-0130: Schwachstelle in Ruby on Rails

Es existiert eine Directory-Traversal-Schwachstelle in
“actionpack/lib/abstract_controller/base.rb” in der
Implicit-Render-Implementation in Ruby on Rails. Diese Schwachstelle kann
ausgenutzt werden, wenn bestimmte Route-Globbing-Konfigurationen aktiviert
sind. Ein entfernter, nicht authentifizierter Angreifer kann durch eine
speziell präparierte Anfrage beliebige Dateien lesen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0570/

Schwachstelle CVE-2014-0130 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0130

Fedora Security Update FEDORA-2014-6098:
https://admin.fedoraproject.org/updates/FEDORA-2014-6098/rubygem-actionpack-4.0.0-4.fc20

Fedora Security Update FEDORA-2014-6127:
https://admin.fedoraproject.org/updates/FEDORA-2014-6127/rubygem-actionpack-3.2.13-6.fc19