Im Web-Framework Grails, das fĂŒr die Entwicklung von Webanwendungen gemÀà dem MVC-Paradigma in Java, Groovy und anderen JVM-Sprachen konzipiert ist, wurde eine Schwachstelle entdeckt, die es ermöglicht, eigenen Code aus der Ferne in der Umgebung auszufĂŒhren, in der die Webanwendung lĂ€uft. Die Ausnutzung der Schwachstelle erfolgt durch das Senden einer speziell gestalteten Anfrage, die dem Angreifer Zugang zum ClassLoader gewĂ€hrt. Das Problem wird durch einen Mangel an Logik bei der Datenbindung (data-binding) verursacht, die sowohl beim Erstellen von Objekten als auch bei der manuellen Bindung ĂŒber bindData verwendet wird. Das Problem wurde in den Versionen 3.3.15, 4.1.1, 5.1.9 und 5.2.1 behoben.
ZusĂ€tzlich kann eine Schwachstelle im Ruby-Modul tzinfo erwĂ€hnt werden, die es ermöglicht, Inhalte beliebiger Dateien zu laden, abhĂ€ngig von den Zugriffsrechten der angegriffenen Anwendung. Diese Schwachstelle ist auf das Fehlen einer angemessenen ĂberprĂŒfung der Verwendung von Sonderzeichen im Namen der Zeitzone zurĂŒckzufĂŒhren, der in der Methode TZInfo::Timezone.get angegeben wird. Das Problem betrifft Anwendungen, die ungeprĂŒfte externe Daten an TZInfo::Timezone.get ĂŒbergeben. Zum Beispiel kann zum Lesen der Datei /tmp/payload ein Wert wie âfoo\n/..../..../..../tmp/payloadâ angegeben werden.
Quelle: opennet.ru
