Weitere kritische Lücke in Ruby on Rails geschlossen

Weitere kritische Lücke in Ruby on Rails geschlossen | heise Security

heise.de 29 Jan '13, 2pm

Weitere kritische Lücke in Ruby on Rails geschlossen

Das Ruby-Entwicklerteam hat eine sehr kritische Lücke in dem Web-Framework Ruby on Rails (RoR) geschlossen, durch die ein Angreifer Code in den Server einschleusen kann. Wer einen Server mit RoR betreibt, sollte umgehend handeln, da bereits passende Exploits kursieren. Betroffen sind die RoR-Versionen 2.3 und 3.0; Abhilfe schafft ein Update auf 3.0.20 und 2.3.16. Außerdem gibt es Patches . Wer weder auf eine der neuen Versionen umsteigen noch den entsprechenden Patch einspielen kann, soll als Workaround bei den betroffenen Applikationen das Backend von Yaml auf JSONGem umstellen. Wie bereits bei der Anfang des Jahres entdeckten Lücke , der etliche Server zum Opfer fielen , können Angreifer eigene Ruby-Objekte generieren und ausführen. Dieses Mal gelingt das über speziell präparierte JSON-Datenpakete, die etwa durch einen POST-Request an den Server geschickt werden. Die JSO...

Full article: http://www.heise.de/security/meldung/Weitere-kritische-Lu...

Tweets

@EuroteamKoenig » 30 Jan '13, 12am
Weitere kritische Lücke in Ruby on Rails geschlossen - Erneut können Angreifer Ruby-Objekte in den Server einschleus... [link]
@worldscollidng » 29 Jan '13, 3pm
Weitere kritische Lücke in #Ruby on Rails geschlossen - heise online [link]
@investclique » 29 Jan '13, 3pm
Weitere kritische Lücke in Ruby on Rails geschlossen: Erneut können Angreifer Ruby-Objekte in den Serv... [link] #security
@noxnews » 29 Jan '13, 3pm
Weitere kritische Lücke in Ruby on Rails geschlossen: Erneut können Angreifer Ruby-Objekte in den Serv... [link] #it #news
@kupmedia » 29 Jan '13, 3pm
Weitere kritische Lücke in Ruby on Rails geschlossen: Erneut können Angreifer Ruby-Objekte in den Server einschl... [link]
@heisec » 29 Jan '13, 2pm
RT @heiseonline: Weitere kritische Lücke in Ruby on Rails geschlossen [link]
@TopFerien » 29 Jan '13, 4pm
RT @heiseonline: Weitere kritische Lücke in Ruby on Rails geschlossen [link]
@1awww » 29 Jan '13, 3pm
RT @heiseonline: Weitere kritische Lücke in Ruby on Rails geschlossen [link]
@spaceflight » 29 Jan '13, 3pm
Weitere kritische Lücke in Ruby on Rails geschlossen: Erneut können Angreifer Ruby-Objekte in den Server einschl... [link]