Ruby on Rails 2.3 堆栈已更新到 2.3.17。Ruby on Rails 3.2 堆栈已更新到 3.2.12。

Ruby Rack 更新到 1.1.6。Ruby Rack 更新到 1.2.8。Ruby Rack 更新到 1.3.10。Ruby Rack 更新到 1.4.5。

这些更新修复了各种安全问题和缺陷。

- 更新到版本 2.3.17（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 更新到版本 3.2.12 (bnc#803336) CVE-2013-0276：

- 更新到版本 3.2.12 (bnc#803336) CVE-2013-0276：
attr_protected 的问题，畸形输入可避开保护

- 更新到版本 2.3.17（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 修复 attr_protected 的问题，其中畸形输入可以避开保护

- 修复已序列化的属性 YAML 漏洞

- 更新到版本 2.3.17（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 修复 attr_protected 的问题，其中畸形输入可以避开保护

- 修复已序列化的属性 YAML 漏洞

- 更新到版本 3.2.12 (bnc#803336) CVE-2013-0276：

- 将配额数值与非数值列进行对比。否则在某些数据库中，字符串列的值将被强制变成允许 0、0.0 或假的数值，从而与以非数字开头的任何字符串相匹配。

- 更新到 1.1.6 (bnc#802794)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- 更新到 1.2.8 (bnc#802794)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- 更新到 1.3.10 (bnc#802794)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- ruby rack 更新到 1.4.5 (bnc#802794 bnc#802795)

- 修复了 CVE-2013-0263，针对 Rack::Session::Cookie 的时序攻击

- 修复 CVE-2013-0262，Rack::File 中的符号链接路径遍历

- ruby rack 更新到 1.4.4 (bnc#798452)

- [SEC] Rack::Auth::AbstractRequest 不再代表任意字符串 (CVE-2013-0184)

- ruby rack 自 1.4.3 的更改

- Security：避免大型多部分边界中未限制边界的读取 (CVE-2013-0183)

- ruby rack 自 1.4.2 的更改 (CVE-2012-6109)

- 添加当用户没有提供会话秘钥时的警告

- 修复对无引号的文件名的解析性能

- 更新了 URI 向后移植

- 修复 URI 向后移植版本匹配，并静默固定警告

- 修正空值的参数解析

- 修正 rackup“-I”标记，从而允许多种用途

- 修正 rackup pidfile 处理

- 正确报告 rackup 行编号

- 修复由具有时间限制的非过时临时信息引起的请求循环

- 修复 Windows 上的复载器

- 避免 Response#to_ary 引起的无限递归

- 各种中间件更加符合正文结束规范

- 更新了正文结束规范的语言

- 有关 ECMA 转义兼容性问题的其他注意事项

- 修复对 range 标头中多种范围的解析

- 避免空参数键值引起的错误

- 将 PATCH 动词添加至 Rack::Request

- 各种文档更新

- 修复会话合并语义（修复 rack-test）

- Rack::Static :index 现在可处理多个目录

- 所有测试现在使用 Rack::Lint（特别感谢 Lars Gierth）

- Rack::File cache_control 参数现在已弃用，并在 1.5 中删除

- 修正 Rack::Directory 脚本名称转义

- Rack::Static 支持用于成熟配置的标头规则

- 现在执行多部分解析时不需要 Content-Length 标头

- Zachary Scott 提供了新徽标

- Rack::BodyProxy 现在明确定义了对 C 扩展有用的 #each

- 未进行 URI 转义的 Cookie 不再引起异常

Red Hat OpenShift Enterprise 1.1.1 现在可用。Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。OpenShift Enterprise 是 Red Hat 的一种云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。安装更新版程序包并重新启动 OpenShift 服务是此更新的唯一要求。但如果要在应用 OpenShift Enterprise 1.1.1 更新时，将系统更新为 Red Hat Enterprise Linux 6.4，建议重新启动系统。如需有关此版本的进一步信息，请参阅 OpenShift Enterprise 1.1.1 技术札记，此项信息不久将可从下列网址查看：https://access.redhat.com/knowledge/docs/ 此更新也修复了下列安全问题：在 rubygem-actionpack 中发现多个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷对使用 rubygem-actionpack 的应用程序的用户进行 XSS 攻击。(CVE-2012-3463, CVE-2012-3464, CVE-2012-3465) 发现特定方法在传递文件名至 Ruby 中的较低层例程之前，并未先审查文件名。如果 Ruby 应用程序根据不受信任的输入名称创建文件，可能导致未按预期名称创建文件。(CVE-2012-4522) 在 Ruby 的关联数组（哈希）实施中，发现了拒绝服务缺陷。在将数据插入数组时，能够向 Ruby 应用程序提供作为密钥的大量输入（例如，发送到 Web 应用程序的 HTTP POST 请求参数）的攻击者，可触发多种哈希函数冲突，使数组操作占用过量 CPU 时间。为消除此问题，已使用一种更能防冲突的新算法，以降低攻击者成功引发有意冲突的机会。(CVE-2012-5371) 在 rubygem-activerecord 中发现输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-activerecord 的应用程序执行 SQL 注入攻击。(CVE-2012-2661, CVE-2012-2695, CVE-2013-0155) 在 rubygem-actionpack 中发现输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-actionpack 和 rubygem-activerecord 的应用程序执行 SQL 注入攻击。(CVE-2012-2660, CVE-2012-2694) 在 rubygem-actionpack 的 HTTP 摘要式验证实施中发现缺陷。远程攻击者可利用此缺陷在使用 rubygem-actionpack 和摘要式认证的应用程序中造成拒绝服务。(CVE-2012-3424) 在 Ruby 安全级别 4 的字符串处理中发现缺陷。远程攻击者可利用 Exception#to_s 以破坏性的方式修改未受感染的字符串，使其受到感染，之后就可以任意修改该字符串。(CVE-2012-4466) 在例外状况消息转译为“Ruby 例外状况”类别字符串的方式中发现缺陷。远程攻击者可利用该缺陷绕过安全级 4 的限制，从而允许不受信任（受感染）的代码修改任意不受信任（受感染）的字符串，而安全级 4 的限制本应阻止此行为。(CVE-2012-4464) 发现 rubygem-ruby_parser 的 ruby_parser 以一种不安全的方式创建临时文件。本地攻击者可利用此缺陷执行符号链接攻击，覆盖使用 ruby_parser 的应用程序可访问的任意文件。(CVE-2013-0162) CVE-2013-0162 问题的发现者为 Red Hat 区域 IT 团队的 Michael Scherer。建议用户升级到 Red Hat OpenShift Enterprise 1.1.1。

Aaron Patterson 报告：

attr_protected 方法允许开发人员指定不应允许为用户分配的模型属性的黑名单。通过使用特别构建的请求，攻击者可避开此保护，更改本应受保护的值。

所有运行受影响版本的用户应立即升级或使用其中一个变通方案。用户还应考虑从 attr_protected 切换到白名单方法 attr_accessible，该方法不易受到此攻击的影响。

远程主机受到 GLSA-201412-28 中所述漏洞的影响（Ruby on Rails：多种漏洞）

在 Ruby on Rails 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可执行任意代码或造成拒绝服务情况。此外，远程攻击者可能可以执行任意 SQL 命令、更改表单输入的参数名并对系统中的任意记录进行更改、绕过预期访问限制、呈现任意视图、注入任意 Web 脚本或 HTML 或者执行跨站请求伪造 (CSRF) 攻击。
 变通方案：

目前无任何已知的变通方案。

针对 CVE-2013-0276 的补丁。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 Ruby on Rails（一种用于 Web 应用程序开发的 Ruby 框架）中发现了两个漏洞。

- CVE-2013-0276 可通过构建的请求绕过 attr_protected 方法提供的黑名单，从而对特定应用程序造成影响。

- CVE-2013-0277 在某些应用程序中，ActiveRecord 中的 +serialize+ 辅助函数可受到诱骗对任意 YAML 数据进行反序列化，从而可能导致远程代码执行。

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-002。此更新包含针对以下组件的大量安全相关补丁：

- CoreMedia Playback（仅 10.7）
 - Directory Service（仅 10.6）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（仅 10.6）
 - SMB（仅 10.7）

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
74900	openSUSE 安全更新：RubyOnRails (openSUSE-SU-2013:0338-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
119432	RHEL 6 : openshift (RHSA-2013:0582)	Nessus	Red Hat Local Security Checks	2018/12/6	2024/7/17	high
64667	FreeBSD：Ruby Activemodel Gem -- 避开 attr_protected (beab40bf-c1ca-4d2b-ad46-2f14bac8a968)	Nessus	FreeBSD Local Security Checks	2013/2/18	2021/1/6	medium
79981	GLSA-201412-28：Ruby on Rails：多种漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
64738	Fedora 18：rubygem-activemodel-3.2.8-2.fc18 (2013-2398)	Nessus	Fedora Local Security Checks	2013/2/21	2021/1/11	medium
64591	Debian DSA-2620-1：Rails - 多个漏洞	Nessus	Debian Local Security Checks	2013/2/13	2021/1/11	critical
64737	Fedora 17：rubygem-activemodel-3.0.11-3.fc17 (2013-2391)	Nessus	Fedora Local Security Checks	2013/2/21	2021/1/11	medium
66809	Mac OS X 多种漏洞（安全更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	critical

检测

插件搜索

critical

high

medium

critical

medium

critical

medium

critical