DFN-CERT-2012-0132 Mehrere Schwachstellen in Rails [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket rails in Debian GNU/Linux 5.0 (lenny) vor Version 2.1.0-7+lenny2
Paket rails in Debian GNU/Linux 6.0 (squeeze) vor Version 2.3.5-1.2+squeeze2

Betroffene Plattformen:

Debian GNU/Linux 5.0 (lenny)
Debian GNU/Linux 6.0 (squeeze)

Mehrere Schwachstellen in Ruby on Rails ermÃ¶glichen einem entfernten
Angreifer schlimmstenfalls beliebige SQL-Befehle auf dem Server auszufÃŒhren.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2011-2931: Cross-site Scripting Schwachstellen in Ruby on Rails

In Ruby on Rails vor Version 3.0.10 bzw. 2.3.13 bzw. 3.1.0rc5 besteht ein
Fehler in der Funktion strip_tags(), welche alle HTML-Elemente aus einer
Zeichenkette entfernen soll. Einem entfernten Angreifer erlaubt dies durch
prÃ€parierte HTML-Tags beliebige HTML- und JavaScript-Befehle im Browser
anderer Benutzer zur AusfÃŒhrung zu bringen (Cross-site Scripting).

CVE-2011-2930: SQL Injection Schwachstellen in Ruby on Rails

In Ruby on Rails vor Version 3.0.10 bzw. 2.3.13 bzw. 3.1.0.rc5 werden in der
Funktion quote_table() in den ActiveRecord Adaptern
(activerecord/lib/active_record/connection_adapters/) ÃŒbergebene Eingaben
fÃŒr SQL-Spaltennamen nicht richtig bereinigt. Ein entfernter Angreifer kann
dies ausnutzen, um beliebige SQL-Befehle mithilfe eines prÃ€parierten
Spaltennamens auszufÃŒhren.

CVE-2011-3186: CRLF-Schwachstelle in Ruby on Rails

Ruby on Rails vor Version 2.3.13 filtert in der Datei
actionpack/lib/action_controller/response.rb die Werte fÃŒr den Content-Type
nur unzureichend. Dies erlaubt einem entfernten Angreifer durch das EinfÃŒgen
von ZeilenvorschÃŒben im Content-Type Header beliebige neue HTTP-Header in
eine Antwort einzufÃŒgen und einen HTTP Response Splitting Angriff
durchzufÃŒhren.

CVE-2009-4214: Cross-site Scripting Schwachstelle in der Ruby on Rails
Funktion strip_tags()

Die Ruby on Rails Funktion strip_tags() verarbeitet nicht druckbare
ASCII-Zeichen nicht korrekt, wodurch in Webanwendungen welche diese Funktion
benutzen, HTML- oder Script-Code nicht korrekt ausgefiltert werden kann.
Dies kÃ¶nnen entfernte Angreifer dazu ausnutzen, beliebigen Script-Code im
Browser anderer Benutzer auszufÃŒhren.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0132/

Das Hersteller Advisory:
http://www.debian.org/security/2011/dsa-2301

Schwachstelle CVE-2011-2930:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2930

Schwachstelle CVE-2011-2931:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2931

Schwachstelle CVE-2011-3186:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3186

Schwachstelle CVE-2009-4214:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4214