Ruby on Rails 团队报告：

已发现两个高风险漏洞：

(CVE-2013-0155) 当 Active Record 与 JSON 参数解析结合使用时存在一个漏洞。

由于 Active Record 解释参数的方式结合解析 JSON 参数的方式，攻击者可能使用“IS NULL”或空“WHERE”子句发出非预期的数据库查询。此问题不让攻击者在 SQL 查询中插入任意值，但他们在大多数用户未预期到时可造成查询检查 NULL 或消除 WHERE 子句。

(CVE-2013-0156) Ruby on Rails 的参数解析代码中存在多个漏洞，允许攻击者绕过认证系统、注入任意 SQL、注入和执行任意代码或者对 Rails 应用程序执行 DoS 攻击。

Ruby on Rails 的参数解析代码允许应用程序自动将值从字符串转换为某些数据类型。
很遗憾，类型转换代码支持的某些转换不适用于对用户提供的数据执行，包括创建 Symbols 和解析 YAML。这些不适用的转换可被攻击者用来损害 Rails 应用程序。

检测

FreeBSD：rubygem-rails -- 多种漏洞 (ca5d3272-59e3-11e2-853b-00262d5ed8ee)

high Nessus 插件 ID 63435

未找到变更日志