在以 Ruby 编写的 Web 应用程序架构 Rails 中发现两个漏洞。这两个漏洞都会影响可处理 Rails 的 Web 请求的 Action Pack。

- CVE-2016-2097 对于 Action View（Action Pack 的其中一个组件）的特别构建的请求可能会导致从任意位置渲染文件，包括应用程序视图目录以外的文件。此漏洞是因为 CVE-2016-0752 的修复不完整所致。这个缺陷是 Makandra 的 Jyoti Singh 和 Tobias Kraze 发现的。

- CVE-2016-2098 如果 Web 应用程序未正确审查用户输入，攻击者可能会控制控制器或视图中渲染方法的参数，进而导致可能执行任意 Ruby 代码。这个缺陷是 Makandra 的 Tobias Kraze 和 Phenoelit 的 Joernchen 发现的。

已在 ruby-actionpack-3.2（一种 web 流量和渲染框架，也是 Rails 的一部分）中发现多种漏洞：

CVE-2015-7576

在执行 HTTP 基本认证时，于 Action Controller 组件比较用户名和密码的方式中发现一个缺陷。
花在比较字符串的时间会因输入而异，可能允许远程攻击者使用时序攻击来判断有效的用户名和密码。

CVE-2016-0751

在 Action Pack 组件执行 MIME 类型查找的方式中发现一个缺陷。由于查询是缓存在 MIME 类型的全局缓存中，因此攻击者可使用此缺陷无限地增加缓存，进而可能导致拒绝服务。

CVE-2016-0752

在 Action View 组件搜索用于渲染的范本的方式中发现一个目录遍历缺陷。如果应用程序将不受信任的输入发送到“render”方法，未经认证的远程攻击者可利用此缺陷渲染非预期的文件，并可能执行任意代码。

CVE-2016-2097

对于 Action View 的特别构建的请求可能会导致从任意位置渲染文件，包括应用程序视图目录以外的文件。此漏洞是因为 CVE-2016-0752 的修复不完整所致。这个缺陷是 Makandra 的 Jyoti Singh 和 Tobias Kraze 发现的。

CVE-2016-2098

如果 Web 应用程序未正确审查用户输入，攻击者可能会控制控制器或视图中渲染方法的参数，进而导致可能执行任意 Ruby 代码。这个缺陷是 Makandra 的 Tobias Kraze 和 Phenoelit 的 Joernchen 发现的。

CVE-2016-6316

Critical Juncture 的 Andrew Carpenter 发现一个会影响 Action View 的跨站脚本漏洞。断言为“HTML 安全”的文本在被用作标签帮助程序中的属性值时，将不会转义引号。

对于 Debian 7“Wheezy”，这些问题已在 3.2.6-6+deb7u3 版本中修复。

建议您升级 ruby-actionpack-3.2 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2016:0456 公告中提及的多个漏洞影响。

    rh-ror41 集合提供 Ruby on Rails 版本 4.1。Ruby on Rails 是种适用于 web 应用程序开发的模型视图控制器 (MVC) 架构。

    已在 rubygem-actionview 中修正以下问题：

    在 Action View 组件搜索用于渲染的范本的方式中发现一个目录遍历缺陷。如果应用程序将不受信任的输入发送到“render”方法，未经认证的远程攻击者可利用此缺陷渲染非预期的文件，并可能执行任意代码。
    (CVE-2016-2097)

    在 Action View 组件搜索用于渲染的模板的方式中发现一个代码注入缺陷。如果应用程序将不受信任的输入发送到“render”方法，未经身份验证的远程攻击者可利用此缺陷执行任意代码。(CVE-2016-2098)

    Red Hat 在此感谢 Ruby on Rails 项目报告这些问题。上游感谢 CVE-2016-2097 的原始报告者 Jyoti Singh 和 Tobias Kraze (makandra)，以及 CVE-2016-2098 的原始报告者 Tobias Kraze (makandra) 和 joernchen (Phenoelit)。

    建议所有 rh-ror41 集合 rubygem-actionview 程序包用户升级到这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。必须重新启动所有正在运行且使用 rh-ror41 集合的应用程序才能使更新生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Ruby on Rails 博客：

Rails 4.2.5.2、4.1.14.2 和 3.2.22.2 已发布！这些版本包含下列重要的安全补丁，建议用户尽快升级。

此 rubygem-actionpack-3_2 更新修复了下列问题：

- CVE-2016-2097：rubygem-actionview：Action View 中的潜在信息泄漏漏洞。(boo#968850)

- CVE-2016-2098：rubygem-actionpack：Action Pack 中可能出现远程代码执行漏洞 (boo#968849)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
89791	Debian DSA-3509-1：rails - 安全更新	Nessus	Debian Local Security Checks	2016/3/10	2021/1/11	high
93132	Debian DLA-604-1：ruby-actionpack-3.2 安全更新	Nessus	Debian Local Security Checks	2016/8/29	2022/3/28	high
210156	RHEL 6/7：rh-ror41 (RHSA-2016:0456)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	high
89708	FreeBSD：rails -- 多种漏洞 (5a016dd0-8aa8-490e-a596-55f4cc17e4ef)	Nessus	FreeBSD Local Security Checks	2016/3/7	2021/1/4	high
90061	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-2016-369)	Nessus	SuSE Local Security Checks	2016/3/21	2021/1/19	high

检测

插件搜索

high

high

high

high

high