Grails ওয়েব ফ্রেমওয়ার্ক এবং TZInfo রুবি মডিউলে দুর্বলতা

Grails ওয়েব ফ্রেমওয়ার্কে, JVM-এর জন্য জাভা, গ্রোভি এবং অন্যান্য ভাষায় MVC প্যারাডাইম অনুসারে ওয়েব অ্যাপ্লিকেশন তৈরি করার জন্য ডিজাইন করা হয়েছে, একটি দুর্বলতা চিহ্নিত করা হয়েছে যা আপনাকে সেই পরিবেশে দূরবর্তীভাবে আপনার কোড চালানোর অনুমতি দেয় যেখানে ওয়েব অ্যাপ্লিকেশন চলছে। একটি বিশেষভাবে তৈরি করা অনুরোধ পাঠানোর মাধ্যমে দুর্বলতাকে কাজে লাগানো হয় যা আক্রমণকারীকে ক্লাসলোডারে অ্যাক্সেস দেয়। সমস্যাটি ডেটা-বাইন্ডিং লজিকের ত্রুটির কারণে হয়, যা অবজেক্ট তৈরি করার সময় এবং bindData ব্যবহার করে ম্যানুয়ালি বাঁধার সময় উভয়ই ব্যবহৃত হয়। 3.3.15, 4.1.1, 5.1.9 এবং 5.2.1 রিলিজে সমস্যাটির সমাধান করা হয়েছে।

অতিরিক্তভাবে, আমরা রুবি মডিউল tzinfo-তে একটি দুর্বলতা লক্ষ্য করতে পারি, যা আপনাকে আক্রমণ করা অ্যাপ্লিকেশনের অ্যাক্সেসের অধিকারগুলি যতদূর অনুমতি দেয় যে কোনও ফাইলের বিষয়বস্তু ডাউনলোড করতে দেয়। TZInfo::Timezone.get পদ্ধতিতে নির্দিষ্ট সময় অঞ্চলের নামে বিশেষ অক্ষর ব্যবহারের জন্য যথাযথ চেকিংয়ের অভাবের কারণে দুর্বলতা। সমস্যাটি এমন অ্যাপ্লিকেশনগুলিকে প্রভাবিত করে যা TZInfo::Timezone.get-এ অপ্রমাণিত বহিরাগত ডেটা পাস করে। উদাহরণস্বরূপ, /tmp/payload ফাইলটি পড়ার জন্য, আপনি "foo\n/../../../tmp/payload" এর মতো একটি মান নির্দিষ্ট করতে পারেন।

উত্স: opennet.ru