RHEL 6:Subscription Asset Manager の Ruby on Rails(RHSA-2013:0154)

high Nessus プラグイン ID 64076

概要

リモート Red Hat ホストに 1 つ以上のセキュリティ更新がありません。

説明

複数のセキュリティ問題を修正する更新済みの rubygem-actionpack、rubygem-activesupport、rubygem-activerecord パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System (CVSS)のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby on Rails は、Web アプリケーション開発用のモデルビューコントローラー(MVC)フレームワークです。Action Pack では、コントローラーとビューのコンポーネントを実装しています。Active Record は、オブジェクトを使用してデータベースエントリにアクセスするために、オブジェクトリレーショナルマッピングを実装します。Active Support では、Rails フレームワークで Ruby により使用される、サポートとユーティリティのクラスを提供しています。

Ruby on Rails が HTTP リクエストの XML パラメーター解析を実行する方法で、複数の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、Ruby on Rails アプリケーションの権限での任意のコードの実行、SQL インジェクション攻撃の実行、または特別に細工された HTTP リクエストを使用した認証のバイパスを行う可能性があります。(CVE-2013-0156)

Red Hat は、Ruby on Rails を使用するアプリケーションで、リモートコードの実行が可能となる CVE-2013-0156 の問題が、一般的に悪用されていると認識しています。

rubygem-activerecord に複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-activerecord を使用するアプリケーションに対して SQL インジェクション攻撃を実行する可能性があります。(CVE-2012-2661、CVE-2012-2695、CVE-2012-6496、 CVE-2013-0155)

rubygem-actionpack に複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-actionpack と rubygem-activerecord を使用するアプリケーションに対して SQL インジェクション攻撃を実行する可能性があります。(CVE-2012-2660、 CVE-2012-2694)

rubygem-actionpack に複数のクロスサイトスクリプティング(XSS)の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-actionpack を使用するアプリケーションのユーザーに対して XSS 攻撃を実行する可能性があります。
(CVE-2012-3463、 CVE-2012-3464、CVE-2012-3465)

rubygem-actionpack の HTTP ダイジェスト認証の実装に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、rubygem-actionpack とダイジェスト認証を使用するアプリケーションでサービス拒否を引き起こす可能性があります。(CVE-2012-3424)

ユーザーは、これらの更新済みの rubygem-actionpack、rubygem-activesupport、rubygem-activerecord パッケージへアップグレードし、これらの問題を解決することが推奨されます。この更新を有効にするには、Katello を再起動する必要があります(「service katello restart」)。

ソリューション

影響を受ける rubygems-actionpack、rubygem-activerecord、rubygem-activesupport パッケージを更新してください。

参考資料

https://access.redhat.com/errata/RHSA-2013:0154

https://access.redhat.com/security/cve/cve-2012-2660

https://access.redhat.com/security/cve/cve-2012-2661

https://access.redhat.com/security/cve/cve-2012-2694

https://access.redhat.com/security/cve/cve-2012-2695

https://access.redhat.com/security/cve/cve-2012-3424

https://access.redhat.com/security/cve/cve-2012-3463

https://access.redhat.com/security/cve/cve-2012-3464

https://access.redhat.com/security/cve/cve-2012-3465

https://access.redhat.com/security/cve/cve-2012-6496

https://access.redhat.com/security/cve/cve-2013-0155

https://access.redhat.com/security/cve/cve-2013-0156

https://access.redhat.com/solutions/290903

プラグインの詳細

深刻度: High

ID: 64076

ファイル名: redhat-RHSA-2013-0154.nasl

バージョン: 1.23

タイプ: local

エージェント: unix

公開日: 2013/1/24

更新日: 2021/1/14

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.4

CVSS v2

リスクファクター: High

基本値: 7.5

現状値: 6.2

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:rubygem-actionpack, p-cpe:/a:redhat:enterprise_linux:rubygem-activerecord, p-cpe:/a:redhat:enterprise_linux:rubygem-activesupport, cpe:/o:redhat:enterprise_linux:6

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2013/1/10

脆弱性公開日: 2012/6/22

エクスプロイト可能

Metasploit (Ruby on Rails XML Processor YAML Deserialization Code Execution)

参照情報

CVE: CVE-2012-2660, CVE-2012-2661, CVE-2012-2694, CVE-2012-2695, CVE-2012-3424, CVE-2012-3463, CVE-2012-3464, CVE-2012-3465, CVE-2012-6496, CVE-2013-0155, CVE-2013-0156

RHSA: 2013:0154