Im Web-Framework Grails, das zur Entwicklung von Webanwendungen nach dem MVC-Paradigma in Java, Groovy und anderen JVM-Sprachen konzipiert ist, wurde eine Sicherheitsanfälligkeit entdeckt, die es Angreifern ermöglicht, ihren Code im Umfeld der Webanwendung aus der Ferne auszuführen. Die Ausnutzung dieser Schwachstelle erfolgt durch das Senden einer speziell formatierten Anfrage, die dem Angreifer Zugang zum ClassLoader gewährt. Das Problem entsteht durch eine fehlerhafte Implementierung in der Logik der Datenbindung (data-binding), die sowohl beim Erstellen von Objekten als auch bei der manuellen Bindung mittels bindData verwendet wird. Das Problem wurde in den Versionen 3.3.15, 4.1.1, 5.1.9 und 5.2.1 behoben.
Zusätzlich kann die Schwachstelle im Ruby-Modul tzinfo erwähnt werden, die es ermöglicht, den Inhalt beliebiger Dateien zu laden, soweit es die Zugriffsrechte der angegriffenen Anwendung erlauben. Die Schwachstelle ist mit einer unzureichenden Überprüfung der Verwendung von Sonderzeichen im Namen der Zeitzone verbunden, die in der Methode TZInfo::Timezone.get angegeben wird. Das Problem betrifft Anwendungen, die ungeprüfte externe Daten an TZInfo::Timezone.get übermitteln. Zum Beispiel kann der Wert für das Lesen der Datei /tmp/payload etwas sein wie „foo\n/..../..../..../tmp/payload“.
Quelle: opennet.ru
