更新后的 rubygem-activesupport 程序包修复了一个安全问题，现在可用于 Red Hat Subscription Asset Manager。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Ruby on Rails 是适用于 Web 应用程序开发的模型-视图-控制器 (MVC) 框架。Active Support 提供 Ruby 在 Rails 框架上使用的支持和实用工具类。

在 Active Support 通过将 JSON 请求转换为 YAML 以执行解析的方式中发现一个缺陷。远程攻击者可利用此缺陷使用特别创建的 JSON 请求以 Ruby on Rails 应用程序的权限执行任意代码、执行 SQL 注入攻击或者绕过认证。(CVE-2013-0333)

Red Hat 在此感谢 Ruby on Rails 上游报告此问题。上游感谢原始报告者 Mirror42 的 Lawrence Pit。

建议 Red Hat Subscription Asset Manager 用户升级此更新后的程序包，其中解决了此问题。必须重新启动 Katello （“service katello restart”）才能使此更新生效。

修复了 CVE-2013-0333。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新版 rubygem-activesupport 程序包修复了一个安全问题，现在可用于 Red Hat OpenShift Enterprise 1.0。Red Hat 安全响应团队将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。Ruby on Rails 是种适用于 web 应用程序开发的模型视图控制器 (MVC) 架构。Active Support 提供 Ruby 在 Rails 框架上使用的支持和实用工具类。在 Active Support 通过将 JSON 请求转换为 YAML 以执行解析的方式中发现一个缺陷。远程攻击者可利用此缺陷使用特别创建的 JSON 请求以 Ruby on Rails 应用程序的权限执行任意代码、执行 SQL 注入攻击或者绕过认证。(CVE-2013-0333) Red Hat 在此感谢 Ruby on Rails 上游报告此问题。上游感谢原始报告者 Mirror42 的 Lawrence Pit。建议 Red Hat OpenShift Enterprise 的所有用户升级到此更新版程序包，以便解决此问题。若是 Red Hat OpenShift Enterprise 系统管理员，必须重启 openshift-broker 和 openshift-console 服务，此更新才会生效。建议 OpenShift 用户更新其运行 Ruby on Rails 的应用程序。

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-002。此更新包含针对以下组件的大量安全相关补丁：

- CoreMedia Playback（仅 10.7）
 - Directory Service（仅 10.6）
 - OpenSSL
 - QuickDraw Manager
 - QuickTime
 - Ruby（仅 10.6）
 - SMB（仅 10.7）

此更新将 RubyOnRails 2.3 堆栈更新为 2.3.16，而且将 RubyOnRails 3.2 堆栈更新为 3.2.11。

完成了安全和缺陷补丁，最重要的是：CVE-2013-0333：修复了 JSON sql/code 注入问题。CVE-2012-5664：修复了 Active Record 中的 SQL 注入漏洞。CVE-2012-2695：修复了条件中通过嵌套的哈希的 SQL 注入。CVE-2013-0155：
修复了 Ruby on Rails 中的不安全查询生成风险。
CVE-2013-0156：修复了 Action Pack 内的参数解析中的多种漏洞。

远程主机正在运行的 Mac OS X 10.6 或 10.7 版本未应用安全更新 2013-001。此更新包含针对以下组件的大量安全相关补丁：

- Apache
 - CoreTypes（仅限 10.7）
 - International Components for Unicode
 - Identity Services（仅限 10.7）
 - ImageIO
 - Messages Server（仅限 Server）
 - PDFKit
 - Podcast Producer Server（仅限 Server）
 - PostgreSQL（仅限 Server）
 - Profile Manager（仅限 10.7 Server）
 - QuickTime
 - Ruby（仅限 10.6 Server）
 - Security
 - Software Update
 - Wiki Server（仅限 10.7 Server）

请注意，此更新还运行恶意软件删除工具，用于删除最常见的恶意软件变体。

远程主机受到 GLSA-201412-28 中所述漏洞的影响（Ruby on Rails：多种漏洞）

在 Ruby on Rails 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

远程攻击者可执行任意代码或造成拒绝服务情况。此外，远程攻击者可能可以执行任意 SQL 命令、更改表单输入的参数名并对系统中的任意记录进行更改、绕过预期访问限制、呈现任意视图、注入任意 Web 脚本或 HTML 或者执行跨站请求伪造 (CSRF) 攻击。
 变通方案：

目前无任何已知的变通方案。

Lawrence Pit 发现 Web 开发框架 Ruby on Rails 容易受到将 JSON 解析为 YAML 中的一个缺陷的影响。
使用特别构建的负载，攻击者可诱骗后端解码一部分 YAML。

已通过删除 YAML 后端并添加 OkJson 后端来解决该漏洞。

远程 Mac OS X 10.8 主机上安装的 OS X Server 版本低于 2.2.1。因此，它受到以下漏洞的影响：

- 由于未正确处理 XML 参数，Ruby on Rails 中存在一个类型转换问题。远程攻击者可利用此问题，通过 Profile Manager 或 Wiki Server 组件执行任意代码。
 (CVE-2013-0156)

- 由于未正确处理 JSON 数据，Ruby on Rails 中存在一个类型转换问题。远程攻击者可利用此问题，通过 Wiki Server 组件执行任意代码。(CVE-2013-0333)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
64281	RHEL 6：Subscription Asset Manager 中的 rubygem-activesupport (RHSA-2013:0201)	Nessus	Red Hat Local Security Checks	2013/1/29	2021/1/14	high
64542	Fedora 16：rubygem-activesupport-3.0.10-6.fc16 (2013-1745)	Nessus	Fedora Local Security Checks	2013/2/11	2021/1/11	high
119430	RHEL 6 : rubygem-activesupport (RHSA-2013:0202)	Nessus	Red Hat Local Security Checks	2018/12/6	2022/2/1	high
66809	Mac OS X 多种漏洞（安全更新 2013-002）	Nessus	MacOS X Local Security Checks	2013/6/5	2019/11/27	critical
64540	Fedora 17：rubygem-activesupport-3.0.11-8.fc17 (2013-1710)	Nessus	Fedora Local Security Checks	2013/2/11	2021/1/11	high
74881	openSUSE 安全更新：ruby (openSUSE-SU-2013:0278-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	high
65578	Mac OS X 多种漏洞（安全更新 2013-001）	Nessus	MacOS X Local Security Checks	2013/3/15	2018/7/14	high
79981	GLSA-201412-28：Ruby on Rails：多种漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical
64364	Debian DSA-2613-1：rails - 输入验证不充分	Nessus	Debian Local Security Checks	2013/1/31	2021/1/11	high
64476	Mac OS X：OS X Server < 2.2.1 多种漏洞	Nessus	MacOS X Local Security Checks	2013/2/5	2018/7/14	high

检测

插件搜索

high

high

high

critical

high

high

high

critical

high

high