Ruby で書かれた Web アプリケーションフレームワークである Rails で、2 つの脆弱性が発見されました。両方の脆弱性が、Rails のために Web リクエストを処理する Action Pack に影響します。

- CVE-2016-2097 Action Pack のコンポーネントの 1 つである Action View に対する細工されたリクエストにより、任意の場所からファイルのレンダリングが行われる可能性があります。これには、アプリケーションの表示ディレクトリの外部にあるファイルも含まれています。この脆弱性は、CVE-2016-0752 の修正が不完全なために存在します。このバグは、Makandra の Jyoti Singh 氏と Tobias Kraze 氏によって発見されました。

- CVE-2016-2098 Web アプリケーションがユーザーの入力を適切にサニタイズしない場合、攻撃者が render メソッドの引数をコントローラーまたはビューでコントロールし、任意の ruby コードを実行する可能性があります。このバグは、Makandra の Tobias Kraze 氏と Phenoelit の joernchen 氏によって発見されました。

- rails-html-sanitizer v1.0.3 の互換性を修正。* コードインジェクションの脆弱性を修正（CVE-2016-2098）。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Web フローとレンダリングのフレームワークであり、Rails の一部である ruby-actionpack-3.2 で、複数の脆弱性が発見されました：

CVE-2015-7576

HTTP ベーシック認証の実行時に、Action Controller コンポーネントがユーザー名とパスワードを比較する方法で、欠陥が見つかりました。
文字列を比較するのにかかる時間は、入力内容により異なります。これにより、リモートの攻撃者が、タイミング攻撃を利用して、有効なユーザー名とパスワードを特定する可能性があります。

CVE-2016-0751

Action Pack コンポーネントが MIME タイプ検索を実行する方法で、欠陥が見つかりました。クエリが MIME タイプのグローバルキャッシュにキャッシュされるため、攻撃者がこの欠陥を利用し、キャッシュを無限に増加し、サービス拒否を引き起こす可能性があります。

CVE-2016-0752

ディレクトリトラバーサルの欠陥が、Action View コンポーネントがレンダリングのテンプレートを検索する方法で見つかりました。アプリケーションが「render」メソッドに対して信頼できない入力を渡した場合、リモートの認証されていない攻撃者が、この欠陥を利用して、意図していないファイルをレンダリングし、任意のコードを実行する可能性があります。

CVE-2016-2097

Action View に対する細工されたリクエストにより、任意の場所からファイルのレンダリングが行われる可能性があります。これには、アプリケーションの表示ディレクトリの外部にあるファイルも含まれています。この脆弱性は、CVE-2016-0752 の修正が不完全なために存在します。このバグは、Makandra の Jyoti Singh 氏と Tobias Kraze 氏によって発見されました。

CVE-2016-2098

Web アプリケーションがユーザーの入力を適切にサニタイズしない場合、攻撃者が render メソッドの引数をコントローラーまたはビューでコントロールし、任意の ruby コードを実行する可能性があります。このバグは、Makandra の Tobias Kraze 氏と Phenoelit の joernchen 氏によって発見されました。

CVE-2016-6316

Critical Juncture の Andrew Carpenter 氏は、Action View に影響を与えるクロスサイトスクリプティングの脆弱性を発見しました。「HTML safe（HTML 安全）」というテキストは、タグヘルパーで属性値として使用される場合に引用符をエスケープしません。

Debian 7「Wheezy」では、これらの問題はバージョン 3.2.6-6+deb7u3 で修正されました。

ruby-actionpack-3.2 パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Ruby on Rails のブログ：

Rails 4.2.5.2、4.1.14.2、および 3.2.22.2 がリリースされました。これらには、以下の重要なセキュリティ修正があり、ユーザーはできるだけ早くアップグレードすることを推奨します。

rubygem-actionview-4_2 用のこの更新は、次の問題を修正します：

- CVE-2016-2098：rubygem-actionpack：アクションパックでリモートコードの実行の脆弱性が発生する可能性があります（boo#968849）

rubygem-actionpack-3_2 用のこの更新は、次の問題を修正します：

- CVE-2016-2097：rubygem-actionview：操作ビューで起こり得る情報漏洩の脆弱性。（boo#968850）

- CVE-2016-2098：rubygem-actionpack：アクションパックでリモートコードの実行の脆弱性が発生する可能性があります（boo#968849）

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2016:0456 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    rh-ror41 コレクションは、Ruby on Rails バージョン 4.1 を提供します。Ruby on Railsは、Webアプリケーション開発用のmodel-view-controller（MVC）フレームワークです。

    次の問題は、rubygem-actionview で修正されました。

    ディレクトリトラバーサルの欠陥が、Action View コンポーネントがレンダリングのテンプレートを検索する方法で見つかりました。アプリケーションが「render」メソッドに対して信頼できない入力を渡した場合、リモートの認証されていない攻撃者が、この欠陥を利用して、意図していないファイルをレンダリングし、任意のコードを実行する可能性があります。
    (CVE-2016-2097)

    コードインジェクションの欠陥が、Action View コンポーネントがレンダリングのテンプレートを検索する方法で見つかりました。アプリケーションが「render」メソッドに対して信頼できない入力を渡した場合、リモートの認証されていない攻撃者が、この欠陥を利用して、任意のコードを実行する可能性があります。(CVE-2016-2098)

    Red Hat は、これらの問題を報告してくれた Ruby on Rails プロジェクトに感謝の意を表します。アップストリームは、Jyoti Singh 氏と Tobias Kraze 氏 (makandra) を CVE-2016-2097 の最初の報告者として認め、Tobias Kraze 氏 (makandra) と joernchen 氏 (Phenoelit) を CVE-2016-2098 の最初の報告者として認めます。

    rh-ror41 コレクション rubygem-actionview パッケージの全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新が機能するには、rh-ror41 コレクションを使用する実行中のすべてのアプリケーションを、再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
89791	Debian DSA-3509-1：rails - セキュリティ更新	Nessus	Debian Local Security Checks	2016/3/10	2021/1/11	high
90016	Fedora 23：rubygem-actionpack-4.2.3-5.fc23/rubygem-actionview-4.2.3-5.fc23（2016-f6af14570f）	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
90013	Fedora 22：rubygem-actionpack-4.2.0-4.fc22/rubygem-actionview-4.2.0-5.fc22（2016-3954061e32）	Nessus	Fedora Local Security Checks	2016/3/18	2021/1/11	high
93132	Debian DLA-604-1：ruby-actionpack-3.2 - セキュリティ更新	Nessus	Debian Local Security Checks	2016/8/29	2022/3/28	high
89708	FreeBSD：rails -- 複数の脆弱性（5a016dd0-8aa8-490e-a596-55f4cc17e4ef）	Nessus	FreeBSD Local Security Checks	2016/3/7	2021/1/4	high
89977	openSUSE セキュリティ更新：rubygem-actionview-4_2（openSUSE-2016-352）	Nessus	SuSE Local Security Checks	2016/3/17	2021/1/19	high
90061	openSUSE セキュリティ更新：rubygem-actionpack-3_2（openSUSE-2016-369）	Nessus	SuSE Local Security Checks	2016/3/21	2021/1/19	high
210156	RHEL 6 / 7 : rh-ror41 (RHSA-2016:0456)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	high

検出

プラグインの検索

high

high

high

high

high

high

high

high