远程主机受到 GLSA-201412-28 中所述漏洞的影响（Ruby on Rails：多种漏洞）

在 Ruby on Rails 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可执行任意代码或造成拒绝服务情况。此外，远程攻击者可能可以执行任意 SQL 命令、更改表单输入的参数名并对系统中的任意记录进行更改、绕过预期访问限制、呈现任意视图、注入任意 Web 脚本或 HTML 或者执行跨站请求伪造 (CSRF) 攻击。
 变通方案：

目前无任何已知的变通方案。

Ruby on Rails 团队报告：

已发现两个高风险漏洞：

(CVE-2013-0155) 当 Active Record 与 JSON 参数解析结合使用时存在一个漏洞。

由于 Active Record 解释参数的方式结合解析 JSON 参数的方式，攻击者可能使用“IS NULL”或空“WHERE”子句发出非预期的数据库查询。此问题不让攻击者在 SQL 查询中插入任意值，但他们在大多数用户未预期到时可造成查询检查 NULL 或消除 WHERE 子句。

(CVE-2013-0156) Ruby on Rails 的参数解析代码中存在多个漏洞，允许攻击者绕过认证系统、注入任意 SQL、注入和执行任意代码或者对 Rails 应用程序执行 DoS 攻击。

Ruby on Rails 的参数解析代码允许应用程序自动将值从字符串转换为某些数据类型。
很遗憾，类型转换代码支持的某些转换不适用于对用户提供的数据执行，包括创建 Symbols 和解析 YAML。这些不适用的转换可被攻击者用来损害 Rails 应用程序。

CVE-2013-0155 和 CVE-2013-0156 的补丁。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

- 修复 CVE-2013-4491：rubygem-actionpack：i18n 缺少转换 XSS (bnc#853625)。文件 CVE-2013-4491.patch 包含修补程序

- 修复 CVE-2013-6414：rubygem-actionpack：操作视图 DoS (bnc#853633)，文件 CVE-2013-6414.patch 包含修补程序。

- 修复 CVE-2013-6415：rubygem-actionpack：number_to_currency XSS (bnc#853632)。文件 CVE-2013-6415.patch 包含修补程序。

- 修复了 CVE-2013-6417：rubygem-actionpack：不安全查询生成风险（针对 CVE-2013-0155 的不完整修复） (bnc#853627)。文件 CVE-2013-6417.patch 包含修补程序。

解释冲突可造成 Rails 的 Active Record 组件（用于 Ruby 编程语言的 Web 框架）以意外的方式截断查询。这可允许攻击者升级其权限。

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-002。此更新包含针对以下组件的大量安全相关补丁：

- CoreMedia Playback（仅 10.7）
 - Directory Service（仅 10.6）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（仅 10.6）
 - SMB（仅 10.7）

此更新将 RubyOnRails 2.3 堆栈更新为 2.3.16，而且将 RubyOnRails 3.2 堆栈更新为 3.2.11。

完成了安全和缺陷补丁，最重要的是：CVE-2013-0333：修复了 JSON sql/code 注入问题。CVE-2012-5664：修复了 Active Record 中的 SQL 注入漏洞。CVE-2012-2695：修复了条件中通过嵌套的哈希的 SQL 注入。CVE-2013-0155：
修复了 Ruby on Rails 中的不安全查询生成风险。
CVE-2013-0156：修复了 Action Pack 内的参数解析中的多种漏洞。

此更新修复了 rubygem-actionpack-3_2 的以下安全问题：

- 修复 CVE-2013-4389：rubygem-actionmailer-3_1：日志订阅者组件中可能存在 DoS 漏洞 (bnc#846239) 文件 CVE-2013-4389.patch 包含了补丁。

- 修复 CVE-2013-4491：rubygem-actionpack：i18n 缺少转换 XSS (bnc#853625)。文件 CVE-2013-4491.patch 包含修补程序

- 修复 CVE-2013-6414：rubygem-actionpack：操作视图 DoS (bnc#853633)，文件 CVE-2013-6414.patch 包含修补程序。

- 修复 CVE-2013-6415：rubygem-actionpack：number_to_currency XSS (bnc#853632)。文件 CVE-2013-6415.patch 包含修补程序。

- 修复了 CVE-2013-6417：rubygem-actionpack：不安全查询生成风险（针对 CVE-2013-0155 的不完整修复） (bnc#853627)。文件 CVE-2013-6417.patch 包含修补程序。

Red Hat OpenShift Enterprise 1.1.1 现在可用。Red Hat 安全响应团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。OpenShift Enterprise 是 Red Hat 的一种云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。安装更新版程序包并重新启动 OpenShift 服务是此更新的唯一要求。但如果要在应用 OpenShift Enterprise 1.1.1 更新时，将系统更新为 Red Hat Enterprise Linux 6.4，建议重新启动系统。如需有关此版本的进一步信息，请参阅 OpenShift Enterprise 1.1.1 技术札记，此项信息不久将可从下列网址查看：https://access.redhat.com/knowledge/docs/ 此更新也修复了下列安全问题：在 rubygem-actionpack 中发现多个跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷对使用 rubygem-actionpack 的应用程序的用户进行 XSS 攻击。(CVE-2012-3463, CVE-2012-3464, CVE-2012-3465) 发现特定方法在传递文件名至 Ruby 中的较低层例程之前，并未先审查文件名。如果 Ruby 应用程序根据不受信任的输入名称创建文件，可能导致未按预期名称创建文件。(CVE-2012-4522) 在 Ruby 的关联数组（哈希）实施中，发现了拒绝服务缺陷。在将数据插入数组时，能够向 Ruby 应用程序提供作为密钥的大量输入（例如，发送到 Web 应用程序的 HTTP POST 请求参数）的攻击者，可触发多种哈希函数冲突，使数组操作占用过量 CPU 时间。为消除此问题，已使用一种更能防冲突的新算法，以降低攻击者成功引发有意冲突的机会。(CVE-2012-5371) 在 rubygem-activerecord 中发现输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-activerecord 的应用程序执行 SQL 注入攻击。(CVE-2012-2661, CVE-2012-2695, CVE-2013-0155) 在 rubygem-actionpack 中发现输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-actionpack 和 rubygem-activerecord 的应用程序执行 SQL 注入攻击。(CVE-2012-2660, CVE-2012-2694) 在 rubygem-actionpack 的 HTTP 摘要式验证实施中发现缺陷。远程攻击者可利用此缺陷在使用 rubygem-actionpack 和摘要式认证的应用程序中造成拒绝服务。(CVE-2012-3424) 在 Ruby 安全级别 4 的字符串处理中发现缺陷。远程攻击者可利用 Exception#to_s 以破坏性的方式修改未受感染的字符串，使其受到感染，之后就可以任意修改该字符串。(CVE-2012-4466) 在例外状况消息转译为“Ruby 例外状况”类别字符串的方式中发现缺陷。远程攻击者可利用该缺陷绕过安全级 4 的限制，从而允许不受信任（受感染）的代码修改任意不受信任（受感染）的字符串，而安全级 4 的限制本应阻止此行为。(CVE-2012-4464) 发现 rubygem-ruby_parser 的 ruby_parser 以一种不安全的方式创建临时文件。本地攻击者可利用此缺陷执行符号链接攻击，覆盖使用 ruby_parser 的应用程序可访问的任意文件。(CVE-2013-0162) CVE-2013-0162 问题的发现者为 Red Hat 区域 IT 团队的 Michael Scherer。建议用户升级到 Red Hat OpenShift Enterprise 1.1.1。

更新后的 rubygem-actionpack、rubygem-activesupport 和 rubygem-activerecord 程序包修复了多种安全问题，现在可用于 Red Hat Subscription Asset Manager。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Ruby on Rails 是适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架。Action Pack 实现控制器和视图组件。Active Record 实现对象关系映射，以使用对象访问数据库条目。Active Support 提供 Ruby 在 Rails 框架上使用的支持和实用工具类。

在 Ruby on Rails 执行 HTTP 请求中 XML 参数解析的方式中发现多种缺陷。远程攻击者可利用这些缺陷以 Ruby on Rails 应用程序的权限执行任意代码，执行 SQL 注入攻击，或使用特别构建的 HTTP 请求绕过认证。(CVE-2013-0156)

Red Hat 意识到可以公开利用 CVE-2013-0156 问题，从而允许使用 Ruby on Rails 在应用程序中远程执行代码。

在 rubygem-activerecord 中发现多种输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-activerecord 的应用程序执行 SQL 注入攻击。（CVE-2012-2661、CVE-2012-2695、CVE-2012-6496、CVE-2013-0155）

在 rubygem-actionpack 中发现多种输入验证漏洞。远程攻击者可能利用这些缺陷对使用 rubygem-actionpack 和 rubygem-activerecord 的应用程序执行 SQL 注入攻击。（CVE-2012-2660、CVE-2012-2694）

在 rubygem-actionpack 中发现多种跨站脚本 (XSS) 缺陷。远程攻击者可利用这些缺陷对使用 rubygem-actionpack 的应用程序的用户进行 XSS 攻击。
（CVE-2012-3463、CVE-2012-3464、CVE-2012-3465）

在 rubygem-actionpack 的 HTTP 摘要式认证实现中发现一个缺陷。远程攻击者可利用此缺陷在使用 rubygem-actionpack 和摘要式认证的应用程序中造成拒绝服务。(CVE-2012-3424)

建议用户升级这些更新后的 rubygem-actionpack、rubygem-activesupport 和 rubygem-activerecord 程序包，其中解决了这些问题。必须重新启动 Katello （“service katello restart”）才能使此更新生效。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79981	GLSA-201412-28：Ruby on Rails：多种漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
63435	FreeBSD：rubygem-rails -- 多种漏洞 (ca5d3272-59e3-11e2-853b-00262d5ed8ee)	Nessus	FreeBSD Local Security Checks	2013/1/9	2021/1/6	high
63657	Fedora 16：rubygem-actionpack-3.0.10-10.fc16 / rubygem-activemodel-3.0.10-2.fc16 / 等 (2013-0686)	Nessus	Fedora Local Security Checks	2013/1/23	2021/1/11	high
75236	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-SU-2013:1904-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
63582	Debian DSA-2609-1：rails - SQL 查询操纵	Nessus	Debian Local Security Checks	2013/1/17	2021/1/11	medium
63635	Fedora 18：rubygem-actionpack-3.2.8-2.fc18 / rubygem-activerecord-3.2.8-3.fc18 等 (2013-0568)	Nessus	Fedora Local Security Checks	2013/1/21	2021/1/11	high
66809	Mac OS X 多种漏洞（安全更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2019/11/27	critical
75235	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-SU-2013:1907-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
63654	Fedora 17：rubygem-actionpack-3.0.11-8.fc17 / rubygem-activemodel-3.0.11-2.fc17 / 等 (2013-0635)	Nessus	Fedora Local Security Checks	2013/1/23	2021/1/11	high
74881	openSUSE 安全更新：ruby (openSUSE-SU-2013:0278-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
75237	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-SU-2013:1906-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
75284	openSUSE 安全更新：rubygem-actionpack-3_2 (openSUSE-SU-2014:0009-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
119432	RHEL 6 : openshift (RHSA-2013:0582)	Nessus	Red Hat Local Security Checks	2018/12/6	2021/1/14	high
64076	RHEL 6：Subscription Asset Manager 中的 Ruby on Rails (RHSA-2013:0154)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	high

检测

插件搜索

critical

high

high

medium

medium

high

critical

medium

high

high

medium

medium

high

high