公知のRuby on Railsの秘密トークンのリモートアプリケーションによる使用
medium Nessus プラグイン ID 64298
Language:
概要
リモートホストのRuby on Railsアプリケーションは、秘密トークンを再利用します。説明
リモートホスト上のRuby on Railsアプリケーションは、公知の秘密トークンを使用してクッキー/データに署名し暗号化します。ソリューション
このアプリケーションの構成を制御する場合は、適切な秘密トークンを生成して、それが広く共有されないようにする必要があります。秘密ファイルは以下のURLにあります：web_application_root/config/initalizers/secret_token.rb
この値は真に一意にする必要があります。これを制御しない場合も、インストールごとに一意にする、ベンダー指定のアップグレードが存在する可能性があります。
参考資料
http://www.nessus.org/u?e33a3010
プラグインの詳細
深刻度: Medium
ID: 64298
ファイル名: ruby_on_rails_known_secret.nbin
バージョン: 1.111
タイプ: remote
ファミリー: General
公開日: 2013/1/30
更新日: 2024/5/20
サポートされているセンサー: Nessus
リスク情報
CVSS v2
リスクファクター: Medium
基本値: 5.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
脆弱性情報
CPE: cpe:/a:rubyonrails:ruby_on_rails
除外される KB アイテム: Settings/disable_cgi_scanning
エクスプロイトが利用可能: true
エクスプロイトの容易さ: No exploit is required
脆弱性公開日: 2012/12/21