Rails コアチームによる報告：

このバージョンには、3 つの重要なセキュリティ修正が含まれています。すぐにアップグレードしてください。

セキュリティ修正の 1 つは全ユーザーに影響を与え、HTML エスケープコードに関連しています。他の 2 つの修正は、ActionPack からの select_tag のプロンプトオプションと strip_tags ヘルパーを使用する人に影響を与えます。

CVE-2012-3463 select_tag プロンプトにある潜在的な XSS の脆弱性。

CVE-2012-3464 HTML エスケープコードにある潜在的な XSS の脆弱性。

-CVE-2012-3465 strip_tags にある XSS の脆弱性。

複数のセキュリティ問題を修正する更新済みの rubygem-actionpack、rubygem-activesupport、rubygem-activerecord パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Ruby on Rails は、Web アプリケーション開発用のモデルビューコントローラー（MVC）フレームワークです。Action Pack では、コントローラーとビューのコンポーネントを実装しています。Active Record は、オブジェクトを使用してデータベースエントリにアクセスするために、オブジェクトリレーショナルマッピングを実装します。Active Support では、Rails フレームワークで Ruby により使用される、サポートとユーティリティのクラスを提供しています。

Ruby on Rails が　HTTP リクエストの XML パラメーター解析を実行する方法で、複数の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、Ruby on Rails アプリケーションの権限での任意のコードの実行、SQL インジェクション攻撃の実行、または特別に細工された　HTTP リクエストを使用した認証のバイパスを行う可能性があります。(CVE-2013-0156)

Red Hat は、Ruby on Rails を使用するアプリケーションで、リモートコードの実行が可能となる CVE-2013-0156 の問題が、一般的に悪用されていると認識しています。

rubygem-activerecord に複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-activerecord を使用するアプリケーションに対して SQL インジェクション攻撃を実行する可能性があります。（CVE-2012-2661、CVE-2012-2695、CVE-2012-6496、 CVE-2013-0155）

rubygem-actionpack に複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-actionpack と rubygem-activerecord を使用するアプリケーションに対して SQL インジェクション攻撃を実行する可能性があります。（CVE-2012-2660、 CVE-2012-2694）

rubygem-actionpack に複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を利用して、rubygem-actionpack を使用するアプリケーションのユーザーに対して XSS 攻撃を実行する可能性があります。
（CVE-2012-3463、 CVE-2012-3464、CVE-2012-3465）

rubygem-actionpack の HTTP ダイジェスト認証の実装に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、rubygem-actionpack とダイジェスト認証を使用するアプリケーションでサービス拒否を引き起こす可能性があります。(CVE-2012-3424)

ユーザーは、これらの更新済みの rubygem-actionpack、rubygem-activesupport、rubygem-activerecord パッケージへアップグレードし、これらの問題を解決することが推奨されます。この更新を有効にするには、Katello を再起動する必要があります（「service katello restart」）。

Red Hat OpenShift Enterprise 1.1.1が利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。OpenShift Enterpriseは、オンプレミスまたはプライベートクラウド展開用に設計された、Red Hatのクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。この更新では、更新済みパッケージのインストールとOpenShiftサービスの再起動のみが必要です。ただし、OpenShift Enterprise 1.1.1の更新の適用中にシステムをRed Hat Enterprise Linux 6.4に更新する場合は、システムを再起動することを推奨します。このリリースの詳細については、間もなくhttps://access.redhat.com/knowledge/docs/から入手できる『OpenShift Enterprise 1.1.1テクニカルノート』を参照してください。この更新では、次のセキュリティ問題も修正されています：rubygem-actionpackで複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-actionpackを使用するアプリケーションのユーザーに対してXSS攻撃を仕掛ける可能性があります。（CVE-2012-3463、CVE-2012-3464、CVE-2012-3465）一部のメソッドでは、Rubyの下層のルーチンに渡す前に、ファイル名をサニタイズしていないことがわかりました。Rubyアプリケーションが信頼できない入力に基づく名前でファイルを作成すると、予期していた名前とは違う名前でファイルが作成される可能性があります。（CVE-2012-4522）Rubyの連想配列（ハッシュ値）の実装でサービス拒否の欠陥が見つかりました。配列にデータを挿入するときにキーとして使用される多数の入力（Webアプリケーションに送信されるHTTP POSTリクエストパラメーターなど）をRubyアプリケーションに供給できる攻撃者が、複数のハッシュ関数衝突を発生させ、配列の操作に過度に長いCPU時間を消費させる可能性があります。この問題を緩和するために、衝突に対してより強い新しいアルゴリズムが使用されており、攻撃者が意図的に衝突を引き起こす可能性が低減しています。（CVE-2012-5371）rubygem-activerecordに複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-activerecordを使用するアプリケーションに対してSQLインジェクション攻撃を仕掛ける可能性があります。（CVE-2012-2661、CVE-2012-2695、CVE-2013-0155）rubygem-actionpackに複数の入力検証の脆弱性が発見されました。リモートの攻撃者が、これらの欠陥を悪用して、rubygem-actionpackとrubygem-activerecordを使用するアプリケーションに対してSQLインジェクション攻撃を仕掛ける可能性があります。（CVE-2012-2660、CVE-2012-2694）rubygem-actionpack のHTTPダイジェスト認証の実装に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、rubygem-actionpackとダイジェスト認証を使用するアプリケーションにサービス拒否を引き起こす可能性があります。（CVE-2012-3424）Ruby安全レベル4の文字列処理に欠陥が見つかりました。リモートの攻撃者が、例外#to_sを使用して汚染されていない文字列を破壊的に変更して汚染させ、文字列を任意に変更する可能性があります。（CVE-2012-4466）例外メッセージをRuby例外クラスの文字列に変換するためのメソッドで、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用して、安全レベル4の制限をバイパスする可能性があります。これにより、信頼できない（汚染した）コードにより、任意の信頼されている（汚染していない）文字列が変更される可能性があります。欠陥がなければ、このような動作は、安全レベル4の制限により防止されます。（CVE-2012-4464）rubygem-ruby_parserのruby_parserが安全でない方法で一時ファイルを作成していたことが見つかりました。ローカルの攻撃者がこの欠陥を悪用して、シンボリックリンク攻撃を仕掛け、ruby_parser を使用するアプリケーションがアクセス可能な任意のファイルを上書きする可能性があります。（CVE-2013-0162）CVE-2013-0162の問題は、Red Hat地域ITチームのMichael Scherer氏により発見されました。ユーザーは、Red Hat OpenShift Enterprise 1.1.1にアップグレードすることが推奨されます。

CVE-2012-3463、CVE-2012-3464 および CVE-2012-3465 に対する修正。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:1542 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - puppet: Filebucket 任意のファイルの読み込み (CVE-2012-1986)

  - puppet: Filebucket のサービス拒否 (CVE-2012-1987)

  - puppet: Filebucket 任意のコードの実行 (CVE-2012-1988)

  - rubygem-mail: ディレクトリトラバーサル (CVE-2012-2139)

  - rubygem-mail: exim または sendmail をコマンドラインから使用する際の任意のコマンド実行 (CVE-2012-2140)

  - rubygem-actionpack: 安全でないクエリ生成 (CVE-2012-2660)

  - rubygem-activerecord: ネスト化されたクエリパラメーターを処理するときの SQL インジェクション (CVE-2012-2661)

  - rubygem-actionpack: 安全でないクエリ生成 (CVE-2012-2660 とは異なる欠陥) (CVE-2012-2694)

  - rubygem-activerecord: ネスト化されたクエリパラメーターを処理するときの SQL インジェクション (CVE-2012-2661 とは異なる欠陥) (CVE-2012-2695)

  - rubygem-actionpack: authenticate_or_request_with_http_digest の DoS 脆弱性 (CVE-2012-3424)

  - rubygem-actionpack: select_tag プロンプトにある潜在的な XSS の脆弱性 (CVE-2012-3463)

  - rubygem-actionpack: 潜在的な XSS の脆弱性 (CVE-2012-3464)

  - rubygem-actionpack: strip_tags の XSS の脆弱性 (CVE-2012-3465)

  - puppet: 認証されたクライアントが、puppet マスターで任意のファイルを読み取る可能性があります (CVE-2012-3864)

  - puppet: 認証されたクライアントが、puppet マスターで任意のファイルを削除する可能性があります (CVE-2012-3865)

  - puppet: SSL 証明書リクエストの CN のエージェント名の不十分な検証 (CVE-2012-3867)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
61480	FreeBSD：rubygem-rails -- 複数の脆弱性（31db9a18-e289-11e1-a57d-080027a27dbf）	Nessus	FreeBSD Local Security Checks	2012/8/10	2021/1/6	medium
64076	RHEL 6：Subscription Asset Manager の Ruby on Rails（RHSA-2013:0154）	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high
119432	RHEL 6：openshift（RHSA-2013:0582）	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	high
61632	Fedora 16：rubygem-actionpack-3.0.10-9.fc16（2012-11870）	Nessus	Fedora Local Security Checks	2012/8/23	2021/1/11	medium
61636	Fedora 17：rubygem-actionpack-3.0.11-7.fc17（2012-11885）	Nessus	Fedora Local Security Checks	2012/8/23	2021/1/11	medium
193969	RHEL 6: CloudForms Commons 1.1 (RHSA-2012:1542)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/4/27	high

検出

プラグインの検索

medium

high

high

medium

medium

high