针对 CVE-2014-0130 的补丁 - 避免目录遍历

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已在 Action Pack（Ruby on Rails 的一个组件）中发现多个漏洞。

- CVE-2014-0081 actionview/lib/action_view/helpers/number_helper.rb 含有多种跨站脚本漏洞

- CVE-2014-0082 actionpack/lib/action_view/template/text.rb 在 MIME 类型字符串中执行符号集中，从而允许通过增多内存消耗来发起远程拒绝服务攻击。

- CVE-2014-0130 actionpack/lib/abstract_controller/base.rb 中的目录遍历漏洞允许远程攻击者读取任意文件。

- 修复了 CVE-2014-0130：rubygem-actionpack：目录遍历问题 (bnc#876714) CVE-2014-0130.patch：
包含补丁

更新后的 Subscription Asset Manager 1.4 程序包修复了多个安全问题，现在可用。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Red Hat Subscription Asset Manager 是在客户端计算机上处理订阅信息和软件更新的代理。Red Hat Subscription Asset Manager 基于 Ruby on Rails（适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架）构建。
Action Pack 实现控制器和视图组件。

在 Ruby on Rails 通过隐式渲染处理路由中的通配符段的方式中发现一个目录遍历缺陷。远程攻击者可利用此缺陷，通过特别构建的请求使用上述路由，检索 Ruby on Rails 应用程序可访问的任意本地文件。(CVE-2014-0130)

在 Ruby on Rails 处理某些查询中的哈希的方式中发现了一个缺陷。远程攻击者可利用此缺陷，通过发送特别构建的查询执行拒绝服务（资源消耗）攻击，从而导致创建 Ruby 符号（从不对此类符号执行垃圾回收）。(CVE-2013-1854)

在 Action Pack 中发现了两个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷针对使用 Action Pack 的应用程序的用户发起 XSS 攻击。（CVE-2013-1855、CVE-2013-1857）

已发现在某些情况下，Ruby on Rails 的国际化组件可返回回退 HTML 字符串（其中包含用户输入）。远程攻击者可能利用此缺陷，通过为使用上述组件的应用程序提供特别构建的输入，执行反射型跨站脚本 (XSS) 攻击。(CVE-2013-4491)

在 Action View 的标头处理组件中发现一个拒绝服务缺陷。远程攻击者可通过特别构建且无限缓存的标头发送字符串，从而导致最终消耗所有可用系统内存。(CVE-2013-6414)

已发现 number_to_currency Action View 辅助函数未正确转义单位参数。攻击者可利用此缺陷，对在单位参数中使用用户提交的数据的应用程序执行跨站脚本 (XSS) 攻击。(CVE-2013-6415)

Red Hat 在此感谢 Ruby on Rails 上游报告这些问题。上游感谢 CVE-2013-1854 的原始报告者 Ben Murphy，CVE-2013-1855 的原始报告者 Charlie Somerville，CVE-2013-1857 的原始报告者 Alan Jenkins，CVE-2013-4491 的原始报告者 Peter McLarnan，CVE-2013-6414 的原始报告者 Toby Hsieh，以及 CVE-2013-6415 的原始报告者 Ankit Gupta。

建议所有 Subscription Asset Manager 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
74167	Fedora 19：rubygem-actionpack-3.2.13-6.fc19 (2014-6127)	Nessus	Fedora Local Security Checks	2014/5/25	2024/6/18	medium
74043	Debian DSA-2929-1：ruby-actionpack-3.2 - 安全更新	Nessus	Debian Local Security Checks	2014/5/19	2024/6/18	medium
74166	Fedora 20：rubygem-actionpack-4.0.0-4.fc20 (2014-6098)	Nessus	Fedora Local Security Checks	2014/5/25	2024/6/18	medium
75374	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-SU-2014:0720-1)	Nessus	SuSE Local Security Checks	2014/6/13	2024/6/18	medium
75375	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-SU-2014:0718-1)	Nessus	SuSE Local Security Checks	2014/6/13	2022/3/28	medium
79326	RHEL 6：Subscription Asset Manager (RHSA-2014:1863)	Nessus	Red Hat Local Security Checks	2014/11/19	2025/4/15	high

检测

插件搜索

medium

medium

medium

medium

medium

high