複数のセキュリティ問題を修正する更新済みの rubygem-actionpack、rubygem-activesupport、rubygem-activerecord パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby on Rails は、Web アプリケーション開発用のモデルビューコントローラー（MVC）フレームワークです。Action Pack では、コントローラーとビューのコンポーネントを実装しています。Active Record は、オブジェクトを使用してデータベースエントリにアクセスするために、オブジェクトリレーショナルマッピングを実装します。Active Support では、Rails フレームワークで Ruby により使用される、サポートとユーティリティのクラスを提供しています。

Ruby on Rails が　HTTP リクエストの XML パラメーター解析を実行する方法で、複数の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、Ruby on Rails アプリケーションの権限での任意のコードの実行、SQL インジェクション攻撃の実行、または特別に細工された　HTTP リクエストを使用した認証のバイパスを行う可能性があります。(CVE-2013-0156)

Red Hat は、Ruby on Rails を使用するアプリケーションで、リモートコードの実行が可能となる CVE-2013-0156 の問題が、一般的に悪用されていると認識しています。

rubygem-activerecord に複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-activerecord を使用するアプリケーションに対して SQL インジェクション攻撃を実行する可能性があります。（CVE-2012-2661、CVE-2012-2695、CVE-2012-6496、 CVE-2013-0155）

rubygem-actionpack に複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-actionpack と rubygem-activerecord を使用するアプリケーションに対して SQL インジェクション攻撃を実行する可能性があります。（CVE-2012-2660、 CVE-2012-2694）

rubygem-actionpack に複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-actionpack を使用するアプリケーションのユーザーに対して XSS 攻撃を実行する可能性があります。
（CVE-2012-3463、 CVE-2012-3464、CVE-2012-3465）

rubygem-actionpack の HTTP ダイジェスト認証の実装に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、rubygem-actionpack とダイジェスト認証を使用するアプリケーションでサービス拒否を引き起こす可能性があります。(CVE-2012-3424)

ユーザーは、これらの更新済みの rubygem-actionpack、rubygem-activesupport、rubygem-activerecord パッケージへアップグレードし、これらの問題を解決することが推奨されます。この更新を有効にするには、Katello を再起動する必要があります（「service katello restart」）。

検出

RHEL 6：Subscription Asset Manager の Ruby on Rails（RHSA-2013:0154）

high Nessus プラグイン ID 64076

変更ログが見つかりません