Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Ruby on Rails
SUSE Studio Onsite 1.3

Betroffene Plattformen:

SUSE Studio Onsite

Mehrere Schwachstellen in von SUSE Studio Onsite 1.3 genutzten Komponenten
erlauben einem entfernten, nicht authentisierten Angreifer das Ausspähen von
Informationen.

Patch:

SUSE Security Update SUSE-SU-2015:0863-1

https://www.suse.com/support/update/announcement/2015/suse-su-20150863-1.html

CVE-2014-7819: Mehrere Directory-Traversal-Schwachstellen in Ruby on Rails
ermöglichen das Ausspähen von Informationen

In server.rb in Sprockets vor 2.0.5, 2.1.x vor 2.1.4, 2.2.x vor 2.2.3, 2.3.x
vor 2.3.3, 2.4.x vor 2.4.6, 2.5.x vor 2.5.1, 2.6.x, 2.7.x vor 2.7.1, 2.8.x
vor 2.8.3, 2.9.x vor 2.9.4, 2.10.x vor 2.10.2, 2.11.x vor 2.11.3, 2.12.x vor
2.12.3 und 3.x vor 3.0.0.beta.3, wie in Ruby on Rails 3 und 4 mitgeliefert,
exisitieren mehrere Directory-Traversal-Schwachstellen. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstellen über
“../”-Sequenzen ausnutzen, um die Existenz von Dateien außerhalb des
Wurzelverzeichnis der Anwendung festzustellen.

CVE-2014-7829: Verzeichnis-Traversal-Schwachstelle in Ruby on Rails
ermöglicht das Ausspähen von Informationen

Eine Verzeichnis-Traversal-Schwachstelle in Ruby on Rails im Zusammenhang
mit der Funktion serve_static_assets in der Datei
actionpack/lib/action_dispatch/middleware/static.rb führt dazu, dass die
Existenz einer Datei außerhalb des Ruby Wurzelverzeichnis geprüft werden
kann. Die Schwachstelle ist nicht identisch mit der CVE-2014-7818. Ein
entfernter, nicht authentifizierter Angreifer kann dadurch Informationen
ausspähen.

CVE-2014-7818: Eine Verzeichnis-Traversal-Schwachstelle in Ruby on Rails
ermöglicht das Ausspähen von Informationen

Eine Verzeichnis-Traversal-Schwachstelle in Ruby on Rails im Zusammenhang
mit der Funktion serve_static_assets in der Datei
actionpack/lib/action_dispatch/middleware/static.rb führt dazu, dass die
Existenz einer Datei außerhalb des Ruby Wurzelverzeichnis geprüft werden
kann. Die Schwachstelle ist nicht identisch mit der CVE-2014-7829. Ein
entfernter, nicht authentifizierter Angreifer kann dadurch Informationen
ausspähen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0684/

Schwachstelle CVE-2014-7818 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7818

Schwachstelle CVE-2014-7819 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7819

Schwachstelle CVE-2014-7829 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-7829

SUSE Security Update SUSE-SU-2015:0863-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20150863-1.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.