Web アプリケーション開発のための Ruby フレームワークである Ruby on Rails に、2 つの脆弱性が見つかりました。

- CVE-2013-0276 attr_protected メソッドによって提供されるブラックリストが、細工されたリクエストによってバイパスされ、アプリケーション特有の影響を及ぼす可能性があります。

- CVE-2013-0277 一部のアプリケーションで、ActiveRecord の +serialize+ helper が騙されて、任意の YAML データを逆シリアル化し、リモートコードの実行につながる可能性があります。

検出

Debian DSA-2620-1：rails - いくつかの脆弱性

critical Nessus プラグイン ID 64591

変更ログが見つかりません