Sicherheitsanfälligkeiten im Web-Framework Grails und Ruby-Modul TZInfo

Im Web-Framework Grails, das für die Entwicklung von Webanwendungen gemäß dem MVC-Paradigma in Java, Groovy und anderen JVM-Sprachen konzipiert ist, wurde eine Schwachstelle entdeckt, die es ermöglicht, eigenen Code aus der Ferne in der Umgebung auszuführen, in der die Webanwendung läuft. Die Ausnutzung der Schwachstelle erfolgt durch das Senden einer speziell gestalteten Anfrage, die dem Angreifer Zugang zum ClassLoader gewährt. Das Problem wird durch einen Mangel an Logik bei der Datenbindung (data-binding) verursacht, die sowohl beim Erstellen von Objekten als auch bei der manuellen Bindung über bindData verwendet wird. Das Problem wurde in den Versionen 3.3.15, 4.1.1, 5.1.9 und 5.2.1 behoben.

Zusätzlich kann eine Schwachstelle im Ruby-Modul tzinfo erwähnt werden, die es ermöglicht, Inhalte beliebiger Dateien zu laden, abhängig von den Zugriffsrechten der angegriffenen Anwendung. Diese Schwachstelle ist auf das Fehlen einer angemessenen Überprüfung der Verwendung von Sonderzeichen im Namen der Zeitzone zurückzuführen, der in der Methode TZInfo::Timezone.get angegeben wird. Das Problem betrifft Anwendungen, die ungeprüfte externe Daten an TZInfo::Timezone.get übergeben. Zum Beispiel kann zum Lesen der Datei /tmp/payload ein Wert wie „foo\n/..../..../..../tmp/payload“ angegeben werden.

Quelle: opennet.ru