在 Ruby on Rails（一种用于 Web 应用程序开发的 Ruby 框架）中发现多个跨站脚本和拒绝服务漏洞。

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-002。此更新包含针对以下组件的大量安全相关补丁：

- CoreMedia Playback（仅 10.7）
 - Directory Service（仅 10.6）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（仅 10.6）
 - SMB（仅 10.7）

rubygem-activerecord-3_2 中的变更：

- 添加了修复安全问题的修补程序：

- bug-809932_3-2-attribute_symbols.patch：修复 CVE-2013-1854：rubygem-activerecord*：Active Record 中的符号 DoS 漏洞 (bnc#809932)

更新后的 Subscription Asset Manager 1.4 程序包修复了多个安全问题，现在可用。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Subscription Asset Manager 是在客户端计算机上处理订阅信息和软件更新的代理。Red Hat Subscription Asset Manager 基于 Ruby on Rails（适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架）构建。
Action Pack 实现控制器和视图组件。

在 Ruby on Rails 通过隐式渲染处理路由中的通配符段的方式中发现一个目录遍历缺陷。远程攻击者可利用此缺陷，通过特别构建的请求使用上述路由，检索 Ruby on Rails 应用程序可访问的任意本地文件。(CVE-2014-0130)

在 Ruby on Rails 处理某些查询中的哈希的方式中发现了一个缺陷。远程攻击者可利用此缺陷，通过发送特别构建的查询执行拒绝服务（资源消耗）攻击，从而导致创建 Ruby 符号（从不对此类符号执行垃圾回收）。(CVE-2013-1854)

在 Action Pack 中发现了两个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷针对使用 Action Pack 的应用程序的用户发起 XSS 攻击。（CVE-2013-1855、CVE-2013-1857）

已发现在某些情况下，Ruby on Rails 的国际化组件可返回回退 HTML 字符串（其中包含用户输入）。远程攻击者可能利用此缺陷，通过为使用上述组件的应用程序提供特别构建的输入，执行反射型跨站脚本 (XSS) 攻击。(CVE-2013-4491)

在 Action View 的标头处理组件中发现一个拒绝服务缺陷。远程攻击者可通过特别构建且无限缓存的标头发送字符串，从而导致最终消耗所有可用系统内存。(CVE-2013-6414)

已发现 number_to_currency Action View 辅助函数未正确转义单位参数。攻击者可利用此缺陷，对在单位参数中使用用户提交的数据的应用程序执行跨站脚本 (XSS) 攻击。(CVE-2013-6415)

Red Hat 在此感谢 Ruby on Rails 上游报告这些问题。上游感谢 CVE-2013-1854 的原始报告者 Ben Murphy，CVE-2013-1855 的原始报告者 Charlie Somerville，CVE-2013-1857 的原始报告者 Alan Jenkins，CVE-2013-4491 的原始报告者 Peter McLarnan，CVE-2013-6414 的原始报告者 Toby Hsieh，以及 CVE-2013-6415 的原始报告者 Ankit Gupta。

建议所有 Subscription Asset Manager 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

针对 CVE-2013-1854 的补丁。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Mac OS X 主机安装了低于 3.0 的 OS X Server 版本。因此，它受到以下漏洞的影响：

- 随附的 JSON Ruby Gem 中存在一个拒绝服务漏洞，可被滥用于耗尽所有可用内存资源。(CVE-2013-0269)

- 随附的 Ruby on Rails 软件中存在多种跨站脚本漏洞。(CVE-2013-1854/ CVE-2013-1855/CVE-2013-1856/CVE-2013-1857)

- 随附的 FreeRADIUS 软件中存在一个缓冲区溢出，使用基于 TLS 的 EAP 方法解析客户端证书中的“not after”时间戳时可触发此问题。(CVE-2012-3547)

- 存在一个逻辑错误，表现为 RADIUS 服务可能从配置的证书列表中选择错误的证书。

rubygem-activerecord-2_3 中的变更：

- 添加了修复安全问题的修补程序：

- bug-809932_2-3-attribute_symbols.patch：修复 CVE-2013-1854：rubygem-activerecord*：Active Record 中的符号 DoS 漏洞 (bnc#809932)

rubygem-activesupport-2_3 中的变更：

- 添加了修复安全问题的修补程序：

- bug-809932_2-3-attribute_symbols.patch：修复 CVE-2013-1854：rubygem-activerecord*：Active Record 中的符号 DoS 漏洞 (bnc#809932)

Ruby on Rails 团队报告：

Rails 版本 3.2.13 已发布。此版本包含重要的安全补丁。建议用户尽快升级。

已发现并修复四个漏洞：

- (CVE-2013-1854) 活动记录中的符号 DoS 漏洞

- (CVE-2013-1855) Action Pack 的 sanitize_css 中的 XSS 漏洞

- (CVE-2013-1856) 影响 JRuby 用户的 XML 解析漏洞

- (CVE-2013-1857) Ruby on Rails 的“审查”帮助程序中的 XSS 漏洞

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0699 公告中提及的漏洞的影响。

  - rubygem-activerecord：attribute_dos 符号 DoS 漏洞 (CVE-2013-1854)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-201412-28 中所述漏洞的影响（Ruby on Rails：多种漏洞）

在 Ruby on Rails 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可执行任意代码或造成拒绝服务情况。此外，远程攻击者可能可以执行任意 SQL 命令、更改表单输入的参数名并对系统中的任意记录进行更改、绕过预期访问限制、呈现任意视图、注入任意 Web 脚本或 HTML 或者执行跨站请求伪造 (CSRF) 攻击。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
65727	Debian DSA-2655-1：Rails - 多个漏洞	Nessus	Debian Local Security Checks	2013/3/29	2021/1/11	medium
66809	Mac OS X 多种漏洞（安全更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	critical
74970	openSUSE 安全更新：rubygem-activerecord-3_2 (openSUSE-SU-2013:0659-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
79326	RHEL 6：Subscription Asset Manager (RHSA-2014:1863)	Nessus	Red Hat Local Security Checks	2014/11/19	2025/4/15	high
65748	Fedora 18：rubygem-activerecord-3.2.8-5.fc18 (2013-4139)	Nessus	Fedora Local Security Checks	2013/4/1	2021/1/11	medium
70590	Mac OS X：OS X Server < 3.0 多种漏洞	Nessus	MacOS X Local Security Checks	2013/10/24	2018/7/14	high
74969	openSUSE 安全更新：rubygem-activerecord-2_3 (openSUSE-SU-2013:0660-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
74971	openSUSE 安全更新：rubygem-activesupport-2_3 (openSUSE-SU-2013:0664-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
65937	FreeBSD：rubygem-rails -- 多种漏洞 (db0c4b00-a24c-11e2-9601-000d601460a4)	Nessus	FreeBSD Local Security Checks	2013/4/12	2021/1/6	medium
119435	RHEL 6：ruby193-rubygem-activerecord (RHSA-2013:0699)	Nessus	Red Hat Local Security Checks	2018/12/6	2024/4/24	high
79981	GLSA-201412-28：Ruby on Rails：多种漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical

检测

插件搜索

medium

critical

medium

high

medium

high

medium

medium

medium

high

critical