Уязвимости в уеб фреймворка Grails и Ruby модула TZInfo

В уеб фреймворка Grails, предназначен за разработване на уеб приложения в съответствие с парадигмата MVC на Java, Groovy и на други езици за JVM, е открита уязвимост, която позволява дистанционно изпълнение на произволен код в средата, в която работи уеб приложението. Експлоатацията на уязвимостта става чрез изпращане на специално оформен заявка, предоставяща на атакуващия достъп до ClassLoader. Проблемът е причинен от недоизпълнение в логиката на привързването на данни (data-binding), която се използва както при създаването на обекти, така и при ръчно привързване чрез bindData. Проблемът е решен в версиите 3.3.15, 4.1.1, 5.1.9 и 5.2.1.

Допълнително може да се отбележи уязвимост в Ruby модула tzinfo, позволяваща зареждане на съдържанието на произволен файл, в зависимост от правата за достъп на атакуваното приложение. Уязвимостта е свързана с липсата на достатъчна проверка за използване на специални символи в името на часовата зона, указана в метода TZInfo::Timezone.get. Проблемът засяга приложения, които предават непроверени външни данни в TZInfo::Timezone.get. Например, за прочит на файла /tmp/payload може да се посочи стойност, подобна на „foo\n/..../..../..../tmp/payload“.

Източник: opennet.ru