GLSA-201412-28：Ruby on Rails：複数の脆弱性

critical Nessus プラグイン ID 79981

Language:

概要

リモートの Gentoo ホストでは、セキュリティに関連するパッチが少なくとも 1 つ不足しています。

説明

リモートホストは、GLSA-201412-28 で説明されている脆弱性の影響を受けます（Ruby on Rails：複数の脆弱性）

Ruby on Rails で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
影響：

リモートの攻撃者が、任意のコードを実行すること、またはサービス拒否を起こすことがあります。さらに、リモートの攻撃者が任意の SQL コマンドを実行したり、フォーム入力のパラメーター名を変更してシステム内の任意のレコードを変更したり、意図されたアクセス制限をバイパスしたり、任意の表示をレンダリングしたり、任意の Web スクリプトまたは HTML を注入したり、クロスサイトリクエスト偽造（CSRF）攻撃を実行したりする可能性があります。
回避策：

現時点で、既知の回避策はありません。

ソリューション

Ruby on Rails 2.x の全ユーザーは、最新バージョンへアップグレードする必要があります：
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-ruby/rails-2.3.18' 注意：Ruby on Rails を使用する全アプリケーションも、アプリケーションディレクトリの中で「rake rails:update」を実行することで利用可能な最新バージョンを使用するように構成する必要があります。
注意：これは、レガシー GLSA であり、上記に一覧された影響を受けないバージョンを含めて、Ruby on Rails 用の安定版（stable）更新はもはや Gentoo から入手できなくなってます。3.2、4.0、または 4.1 ブランチにアップグレードすることは可能ですが、これらのパッケージは現在のところ安定版（stable）ではありません。