Ruby on Rails 2.3 のスタックが 2.3.17 に更新されました。Ruby on Rails 3.2 のスタックが 3.2.12 に更新されました。

Ruby Rack が 1.1.6 に更新されました。Ruby Rack が 1.2.8 に更新されました。Ruby Rack が 1.3.10 に更新されました。Ruby Rack が 1.4.5 に更新されました。

この更新では、様々なセキュリティ問題とバグが修正されます。

- バージョン 2.3.17 に更新します（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- バージョン 3.2.12 に更新します（bnc#803336）CVE-2013-0276：

- バージョン 3.2.12 への更新（bnc#803336）CVE-2013-0276：
無効な形式の入力による保護回避の可能性がある attr_protected の問題

- バージョン 2.3.17 に更新します（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 無効な形式の入力が保護を回避する可能性がある attr_protected の問題を修正します

- シリアル化された属性の YAML の脆弱性を修正します

- バージョン 2.3.17 に更新します（bnc#803336、bnc#803339）CVE-2013-0276 CVE-2013-0277：

- 無効な形式の入力が保護を回避する可能性がある attr_protected の問題を修正します

- シリアル化された属性の YAML の脆弱性を修正します

- バージョン 3.2.12 に更新します（bnc#803336）CVE-2013-0276：

- 引用数値が非数値の列と比較されます。または、一部のデータベースでは、文字列の列の値が数値に対して強制され、0、0.0 または false が非数値で始まる文字列と一致する可能性があります。

- 1.1.6 への更新（bnc#802794）

- CVE-2013-0263 の修正、Rack::Session::Cookie に対するタイミング攻撃

- 1.2.8 への更新（bnc#802794）

- CVE-2013-0263 の修正、Rack::Session::Cookie に対するタイミング攻撃

- 1.3.10 への更新（bnc#802794）

- CVE-2013-0263 の修正、Rack::Session::Cookie に対するタイミング攻撃

- ruby rack の 1.4.5 への更新（bnc#802794 bnc#802795）

- CVE-2013-0263 の修正、Rack::Session::Cookie に対するタイミング攻撃

- CVE-2013-0262（Rack::File のシンボリックリンクパストラバーサル）を修正します

- ruby rack の 1.4.4 への更新（bnc#798452）

- [SEC] Rack::Auth::AbstractRequest は、もう任意の文字列を符号化しません（CVE-2013-0184）

- 1.4.3 からの ruby rack の変更

- セキュリティ：大きなマルチパート境界の無限読み取りを防ぎます（CVE-2013-0183）

- 1.4.2 からの ruby rack の変更（CVE-2012-6109）

- ユーザーがセッション秘密鍵を提供しなかったときの警告を追加します

- 引用符で囲まれていないファイル名に対する解析のパフォーマンスを修正します

- URI バックポートを更新しました

- URI バックポートバージョンマッチング、およびサイレンスコンスタント警告を修正します

- 空の値でのパラメーター解析を修正します

- 複数の使用を可能にするため、rackup「-I」フラグを修正します

- rackup pidfile 処理を修正します

- rackup 行番号を正しくレポートします

- 時間制限がある古くない nonce によって引き起こされるリクエストループを修正します

- Windows のリロードを修正します

- Response#to_ary からの無限再帰を防ぎます

- 様々なミドルウェアが body close 仕様に対する適合を改善しました

- body close 仕様に対する言語を更新しました

- ECMA エスケープの互換問題に関する注記を追加しました

- 範囲ヘッダーの複数範囲の解析を修正します

- 空のパラメーター鍵からのエラーを防ぎます

- PATCH 動詞を Rack::Request に追加しました

- 様々なドキュメントの更新

- セッションマージセマンティックを修正します（rack-test の修正）

- Rack::Static :index が複数のディレクトリを処理できるようになりました

- すべてのテストが Rack::Lint を利用するようになりました（Lars Gierth 氏に特段の感謝の意を表します）

- Rack::File cache_control パラメーターが廃止され、1.5 で削除されます

- Rack::Directory スクリプト名のエスケープを修正します

- Rack::Static が洗練された構成のヘッダールールをサポートします

- Content-Length ヘッダーなしでマルチパート解析が機能するようになりました

- Zachary Scott 氏の好意による新しいロゴ！

- Rack::BodyProxy が明示的に #each を定義するようになりました。これは C 拡張で役に立ちます

- URI エスケープされていないクッキーは、もう例外を引き起こしません

リモートホストは、セキュリティ更新 2013-002 が適用されていない Mac OS X 10.6 または 10.7 バージョンを実行しています。この更新は、次のコンポーネントのために考えられた数々のセキュリティ関連の修正を含んでいます。

- CoreMedia Playback（10.7 のみ）
 - Directory Service（10.6 のみ）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（10.6 のみ）
 - SMB（10.7 のみ）

Web アプリケーション開発のための Ruby フレームワークである Ruby on Rails に、2 つの脆弱性が見つかりました。

- CVE-2013-0276 attr_protected メソッドによって提供されるブラックリストが、細工されたリクエストによってバイパスされ、アプリケーション特有の影響を及ぼす可能性があります。

- CVE-2013-0277 一部のアプリケーションで、ActiveRecord の +serialize+ helper が騙されて、任意の YAML データを逆シリアル化し、リモートコードの実行につながる可能性があります。

CVE-2013-0277 の修正。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201412-28 で説明されている脆弱性の影響を受けます（Ruby on Rails：複数の脆弱性）

Ruby on Rails で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、任意のコードを実行すること、またはサービス拒否を起こすことがあります。さらに、リモートの攻撃者が任意の SQL コマンドを実行したり、フォーム入力のパラメーター名を変更してシステム内の任意のレコードを変更したり、意図されたアクセス制限をバイパスしたり、任意の表示をレンダリングしたり、任意の Web スクリプトまたは HTML を注入したり、クロスサイトリクエスト偽造（CSRF）攻撃を実行したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
74900	openSUSE セキュリティ更新：RubyOnRails（openSUSE-SU-2013:0338-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	critical
66809	Mac OS X 複数の脆弱性（セキュリティ更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2024/5/28	critical
64591	Debian DSA-2620-1：rails - いくつかの脆弱性	Nessus	Debian Local Security Checks	2013/2/13	2021/1/11	critical
64734	Fedora 17：rubygem-activerecord-3.0.11-6.fc17（2013-2351）	Nessus	Fedora Local Security Checks	2013/2/21	2021/1/11	critical
79981	GLSA-201412-28：Ruby on Rails：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical

検出

プラグインの検索

critical

critical

critical

critical

critical