CVE-2013-0333 の修正。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

1 つのセキュリティ問題を修正する更新済みの rubygem-activesupport パッケージが、Red Hat Subscription Asset Manager で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Ruby on Rails は、Web アプリケーション開発用のモデルビューコントローラー（MVC）フレームワークです。Active Support では、Rails フレームワークで Ruby により使用される、サポートとユーティリティのクラスを提供しています。

YAML　へ変換することによる、Active Support が JSON リクエストの解析を実行する方法で、欠陥が見つかりました。リモートの攻撃者が、この欠陥を利用して、Ruby on Rails アプリケーションの権限での任意のコードの実行、SQL インジェクション攻撃の実行、または特別に細工された　JSON リクエストを使用した認証のバイパスを行う可能性があります。(CVE-2013-0333)

Red Hat は、この問題を報告してくれた Ruby on Rails の Upstream に感謝の意を表します。Upstream は、Mirror42 の Lawrence Pit 氏を最初の報告者として認めます。

Red Hat Subscription Asset Manager のユーザーは、この更新済みパッケージへアップグレードし、この問題を解決することが推奨されます。この更新を有効にするには、Katello を再起動する必要があります（「service katello restart」）。

1つのセキュリティの問題を修正するrubygem-activesupportの更新済みパッケージがRed Hat OpenShift Enterprise 1.0で利用可能になりました。Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度最高として評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションのCVEリンクで確認できます。Ruby on Railsは、Webアプリケーション開発用のmodel-view-controller（MVC）フレームワークです。Active Supportは、RailsフレームワークでRubyが使用する、サポートとユーティリティのクラスを提供します。YAMLへ変換することによる、Active SupportがJSONリクエストの解析を実行する方法に、欠陥が見つかりました。リモートの攻撃者が、この欠陥を悪用し、Ruby on Railsアプリケーションの権限で任意のコードを実行する、SQLインジェクション攻撃を仕掛ける、特別に細工されたJSONリクエストを使用して認証をバイパスするなどの可能性があります。（CVE-2013-0333）Red Hatは、この問題を報告してくれたRuby on RailsのUpstreamに感謝の意を表します。Upstreamは、Mirror42のLawrence Pit氏を最初の報告者として認めています。Red Hat OpenShift Enterpriseのすべてのユーザーは、この更新済みパッケージにアップグレードし、この問題を解決することが推奨されます。Red Hat OpenShift Enterprise管理者は、この更新を有効にするために、openshift-brokerサービスとopenshift-consoleサービスを再起動する必要があります。OpenShiftのユーザーは、Ruby on Railsを実行中のアプリケーションを更新することが推奨されます。

リモートホストは、セキュリティ更新 2013-002 が適用されていない Mac OS X 10.6 または 10.7 バージョンを実行しています。この更新は、次のコンポーネントのために考えられた数々のセキュリティ関連の修正を含んでいます。

- CoreMedia Playback（10.7 のみ）
 - Directory Service（10.6 のみ）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（10.6 のみ）
 - SMB（10.7 のみ）

Lawrence Pit 氏が、ウェブ開発フレームワークである Ruby on Rails が YAML に対する JSON の解析における欠陥に脆弱であることを発見しました。
特別に細工されたペイロードを使用して、攻撃者がバックエンドを騙して、YAML のサブセットをエンコーディングさせることができます。

この脆弱性は、YAML バックエンドを削除し、OkJson バックエンドを追加することで対処されています。

リモートのMac OS X 10.8 ホストには、2.2.1 より前のバージョンの OS X Server がインストールされています。したがって、次の脆弱性の影響を受けます：

- XML パラメーターが不適切に処理されるため、Ruby on Rails にタイプキャスティングの問題が存在します。リモートの攻撃者がこの問題を悪用し、任意のコードを Profile Manager または Wiki Server のコンポーネントのいずれかを通じて実行する可能性があります。
 (CVE-2013-0156)

- JSON データが不適切に処理されるため、Ruby on Rails にタイプキャスティングの問題が存在します。リモートの攻撃者がこれを悪用し、任意のコードを Wiki Server コンポーネントを通じて実行する可能性があります。(CVE-2013-0333)

リモートホストは、GLSA-201412-28 で説明されている脆弱性の影響を受けます（Ruby on Rails：複数の脆弱性）

Ruby on Rails で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、任意のコードを実行すること、またはサービス拒否を起こすことがあります。さらに、リモートの攻撃者が任意の SQL コマンドを実行したり、フォーム入力のパラメーター名を変更してシステム内の任意のレコードを変更したり、意図されたアクセス制限をバイパスしたり、任意の表示をレンダリングしたり、任意の Web スクリプトまたは HTML を注入したり、クロスサイトリクエスト偽造（CSRF）攻撃を実行したりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

この更新では、RubyOnRails 2.3 スタックを 2.3.16 に更新します。また、この更新では、RubyOnRails 3.2 スタックを 3.2.11 に更新します。

セキュリティとバグ修正が行われました。最高位：CVE-2013-0333：JSON sql/コード注入の問題が修正されました。CVE-2012-5664：Active Record の SQL インジェクションの脆弱性が修正されました。CVE-2012-2695：健全なネスト化されたハッシュによる SQL インジェクションが修正されました。CVE-2013-0155：
Rails の Ruby の安全でないクエリ生成のリスクが修正されました。
CVE-2013-0156：Action Pack のパラメーター解析の複数の脆弱性が修正されました。

リモートホストは、セキュリティ更新 2013-001 が適用されていない Mac OS X 10.6 または 10.7 バージョンを実行しています。この更新は、次のコンポーネントのために考えられた数々のセキュリティ関連の修正を含んでいます。

- Apache
 - CoreTypes（10.7 のみ）
 - International Components for Unicode
 - Identity Services（10.7 のみ）
 - ImageIO
 - Messages Server（Server のみ）
 - PDFKit
 - Podcast Producer Server（Server のみ）
 - PostgreSQL（Server のみ）
 - Profile Manager（10.7 サーバーのみ）
 - QuickTime
 - Ruby（10.6 Server のみ）
 - Security
 - Software Update
 - Wiki Server（10.7 Server のみ）

注意：また、この更新ではマルウェア駆除ツールを実行し、これにより大半の一般的な種類のマルウェアは駆除されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
64542	Fedora 16：rubygem-activesupport-3.0.10-6.fc16（2013-1745）	Nessus	Fedora Local Security Checks	2013/2/11	2021/1/11	high
64281	RHEL 6：Subscription Asset Manager の rubygem-activesupport（RHSA-2013:0201）	Nessus	Red Hat Local Security Checks	2013/1/29	2021/1/14	high
119430	RHEL 6：rubygem-activesupport（RHSA-2013:0202）	Nessus	Red Hat Local Security Checks	2018/12/6	2022/2/1	high
66809	Mac OS X 複数の脆弱性（セキュリティ更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2019/11/27	critical
64364	Debian DSA-2613-1：rails - 不充分な入力検証	Nessus	Debian Local Security Checks	2013/1/31	2021/1/11	high
64476	Mac OS X：OS X Server < 2.2.1 複数の脆弱性	Nessus	MacOS X Local Security Checks	2013/2/5	2018/7/14	high
79981	GLSA-201412-28：Ruby on Rails：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
64540	Fedora 17：rubygem-activesupport-3.0.11-8.fc17（2013-1710）	Nessus	Fedora Local Security Checks	2013/2/11	2021/1/11	high
74881	openSUSE セキュリティ更新：ruby（openSUSE-SU-2013:0278-1）	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
65578	Mac OS X 複数の脆弱性（セキュリティ更新 2013-001）	Nessus	MacOS X Local Security Checks	2013/3/15	2018/7/14	high

検出

プラグインの検索

high

high

high

critical

high

high

critical

high

high

high