Rails 核心团队报告：

此版本包含三个重要的安全补丁，请立即升级。

其中一个安全补丁影响所有用户，与 HTML 转义代码相关。另外两个补丁影响 ActionPack 中 select_tag prompt 选项和 strip_tags 辅助函数的用户。

CVE-2012-3463 select_tag prompt 中的潜在 XSS 漏洞

CVE-2012-3464 HTML 转义代码中的潜在 XSS 漏洞。

CVE-2012-3465 strip_tags 中的 XSS 漏洞。

修复 CVE-2012-3463、CVE-2012-3464 及 CVE-2012-3465。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 6 主机上安装的多个程序包受到 RHSA-2012:1542 公告中提及的多个漏洞影响。

  - puppet：Filebucket 任意文件读取 (CVE-2012-1986)

  - puppet：Filebucket 拒绝服务 (CVE-2012-1987)

  - puppet：Filebucket 任意代码执行 (CVE-2012-1988)

  - rubygem-mail：目录遍历 (CVE-2012-2139)

  - rubygem-mail：从命令行使用 exim 或 sendmail 时执行任意命令 (CVE-2012-2140)

  - rubygem-actionpack：不安全的查询生成 (CVE-2012-2660)

  - rubygem-activerecord：处理嵌套查询参数时的 SQL 注入 (CVE-2012-2661)

  - rubygem-actionpack：不安全的查询生成 (此缺陷与 CVE-2012-2660 不同) (CVE-2012-2694)

  - rubygem-activerecord：处理嵌套查询参数时的 SQL 注入与 CVE-2012-2661 不同) (CVE-2012-2695)

  - rubygem-actionpack：authenticate_or_request_with_http_digest 中的 DoS 漏洞（CVE-2012-3424）

  - rubygem-actionpack：select_tag prompt 中的潜在 XSS 漏洞 (CVE-2012-3463)

  - rubygem-actionpack：潜在 XSS 漏洞 (CVE-2012-3464)

  - rubygem-actionpack：strip_tags 中的潜在 XSS 漏洞 (CVE-2012-3465)

  - puppet：经过身份验证的客户端可以从 Puppet Master 读取任意文件 (CVE-2012-3864)

  - puppet：经过身份验证的客户端可以从 Puppet Master 删除任意文件 (CVE-2012-3865)

  - puppet：对 SSL 证书请求的 CN 中的代理名称验证不足 (CVE-2012-3867)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Red Hat OpenShift Enterprise 1.1.1 现在可用。Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。OpenShift Enterprise 是 Red Hat 的一种云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。安装更新版程序包并重新启动 OpenShift 服务是此更新的唯一要求。但如果要在应用 OpenShift Enterprise 1.1.1 更新时，将系统更新为 Red Hat Enterprise Linux 6.4，建议重新启动系统。如需有关此版本的进一步信息，请参阅 OpenShift Enterprise 1.1.1 技术札记，此项信息不久将可从下列网址查看：https://access.redhat.com/knowledge/docs/ 此更新也修复了下列安全问题：在 rubygem-actionpack 中发现多个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷对使用 rubygem-actionpack 的应用程序的用户进行 XSS 攻击。(CVE-2012-3463, CVE-2012-3464, CVE-2012-3465) 发现特定方法在传递文件名至 Ruby 中的较低层例程之前，并未先审查文件名。如果 Ruby 应用程序根据不受信任的输入名称创建文件，可能导致未按预期名称创建文件。(CVE-2012-4522) 在 Ruby 的关联数组（哈希）实施中，发现了拒绝服务缺陷。在将数据插入数组时，能够向 Ruby 应用程序提供作为密钥的大量输入（例如，发送到 Web 应用程序的 HTTP POST 请求参数）的攻击者，可触发多种哈希函数冲突，使数组操作占用过量 CPU 时间。为消除此问题，已使用一种更能防冲突的新算法，以降低攻击者成功引发有意冲突的机会。(CVE-2012-5371) 在 rubygem-activerecord 中发现输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-activerecord 的应用程序执行 SQL 注入攻击。(CVE-2012-2661, CVE-2012-2695, CVE-2013-0155) 在 rubygem-actionpack 中发现输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-actionpack 和 rubygem-activerecord 的应用程序执行 SQL 注入攻击。(CVE-2012-2660, CVE-2012-2694) 在 rubygem-actionpack 的 HTTP 摘要式验证实施中发现缺陷。远程攻击者可利用此缺陷在使用 rubygem-actionpack 和摘要式认证的应用程序中造成拒绝服务。(CVE-2012-3424) 在 Ruby 安全级别 4 的字符串处理中发现缺陷。远程攻击者可利用 Exception#to_s 以破坏性的方式修改未受感染的字符串，使其受到感染，之后就可以任意修改该字符串。(CVE-2012-4466) 在例外状况消息转译为“Ruby 例外状况”类别字符串的方式中发现缺陷。远程攻击者可利用该缺陷绕过安全级 4 的限制，从而允许不受信任（受感染）的代码修改任意不受信任（受感染）的字符串，而安全级 4 的限制本应阻止此行为。(CVE-2012-4464) 发现 rubygem-ruby_parser 的 ruby_parser 以一种不安全的方式创建临时文件。本地攻击者可利用此缺陷执行符号链接攻击，覆盖使用 ruby_parser 的应用程序可访问的任意文件。(CVE-2013-0162) CVE-2013-0162 问题的发现者为 Red Hat 区域 IT 团队的 Michael Scherer。建议用户升级到 Red Hat OpenShift Enterprise 1.1.1。

- 添加了 3-0-escape_html-activesupport.patch：(bnc#775653) 还编码了单引号 (CVE-2012-3464)

- 添加了 3-0-strip_tags.patch：(bnc#775649) 不将 strip_tags 结果标记为 html_safe CVE-2012-3465

在 Ruby on Rails（一种用于 Web 应用程序开发的 Ruby 框架）中发现多个跨站脚本和拒绝服务漏洞。

更新后的 rubygem-actionpack、rubygem-activesupport 和 rubygem-activerecord 程序包修复了多种安全问题，现在可用于 Red Hat Subscription Asset Manager。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Ruby on Rails 是适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架。Action Pack 实现控制器和视图组件。Active Record 实现对象关系映射，以使用对象访问数据库条目。Active Support 提供 Ruby 在 Rails 框架上使用的支持和实用工具类。

在 Ruby on Rails 执行 HTTP 请求中 XML 参数解析的方式中发现多种缺陷。远程攻击者可利用这些缺陷以 Ruby on Rails 应用程序的权限执行任意代码，执行 SQL 注入攻击，或使用特别构建的 HTTP 请求绕过认证。(CVE-2013-0156)

Red Hat 意识到可以公开利用 CVE-2013-0156 问题，从而允许使用 Ruby on Rails 在应用程序中远程执行代码。

在 rubygem-activerecord 中发现多种输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-activerecord 的应用程序执行 SQL 注入攻击。（CVE-2012-2661、CVE-2012-2695、CVE-2012-6496、CVE-2013-0155）

在 rubygem-actionpack 中发现多种输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-actionpack 和 rubygem-activerecord 的应用程序执行 SQL 注入攻击。（CVE-2012-2660、CVE-2012-2694）

在 rubygem-actionpack 中发现多种跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷对使用 rubygem-actionpack 的应用程序的用户进行 XSS 攻击。
（CVE-2012-3463、CVE-2012-3464、CVE-2012-3465）

在 rubygem-actionpack 的 HTTP 摘要式认证实现中发现一个缺陷。远程攻击者可利用此缺陷在使用 rubygem-actionpack 和摘要式认证的应用程序中造成拒绝服务。(CVE-2012-3424)

建议用户升级这些更新后的 rubygem-actionpack、rubygem-activesupport 和 rubygem-activerecord 程序包，其中解决了这些问题。必须重新启动 Katello （“service katello restart”）才能使此更新生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
61480	FreeBSD：rubygem-rails -- 多种漏洞 (31db9a18-e289-11e1-a57d-080027a27dbf)	Nessus	FreeBSD Local Security Checks	2012/8/10	2021/1/6	medium
61632	Fedora 16：rubygem-actionpack-3.0.10-9.fc16 (2012-11870)	Nessus	Fedora Local Security Checks	2012/8/23	2021/1/11	medium
61636	Fedora 17：rubygem-actionpack-3.0.11-7.fc17 (2012-11885)	Nessus	Fedora Local Security Checks	2012/8/23	2021/1/11	medium
193969	RHEL 6：CloudForms Commons 1.1 (RHSA-2012:1542)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	high
119432	RHEL 6 : openshift (RHSA-2013:0582)	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	high
74762	openSUSE 安全更新：rubygem-actionpack-2_3 / rubygem-activesupport-2_3 (openSUSE-SU-2012:1218-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
65727	Debian DSA-2655-1：Rails - 多个漏洞	Nessus	Debian Local Security Checks	2013/3/29	2021/1/11	medium
64076	RHEL 6：Subscription Asset Manager 中的 Ruby on Rails (RHSA-2013:0154)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high

检测

插件搜索

medium

medium

medium

high

high

medium

medium

high