公知のRuby on Railsの秘密トークンのリモートアプリケーションによる使用
medium Nessus プラグイン ID 64298
Language:
概要
リモートホストのRuby on Railsアプリケーションは、秘密トークンを再利用します。説明
リモートホスト上のRuby on Railsアプリケーションは、公知の秘密トークンを使用してクッキー/データに署名し暗号化します。ソリューション
このアプリケーションの構成を制御する場合は、適切な秘密トークンを生成して、それが広く共有されないようにする必要があります。秘密ファイルは以下のURLにあります：web_application_root/config/initalizers/secret_token.rb
この値は真に一意にする必要があります。これを制御しない場合も、インストールごとに一意にする、ベンダー指定のアップグレードが存在する可能性があります。
参考資料
http://www.nessus.org/u?52be4ff8
プラグインの詳細
深刻度: Medium
ID: 64298
ファイル名: ruby_on_rails_known_secret.nbin
バージョン: 1.131
タイプ: Remote
ファミリー: General
公開日: 2013/1/30
更新日: 2026/8/10
サポートされているセンサー: Nessus
脆弱性情報
CPE: cpe:/a:rubyonrails:ruby_on_rails
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトが利用可能: true
エクスプロイトの容易さ: No exploit is required
脆弱性公開日: 2012/12/21