Im Grails-Webframework, das für die Entwicklung von Webanwendungen gemäß dem MVC-Paradigma in Java, Groovy und anderen Sprachen für die JVM entwickelt wurde, wurde eine Schwachstelle identifiziert, die es Ihnen ermöglicht, Ihren Code remote in der Umgebung auszuführen, in der sich das Web befindet Anwendung läuft. Die Schwachstelle wird ausgenutzt, indem eine speziell gestaltete Anfrage gesendet wird, die dem Angreifer Zugriff auf den ClassLoader gewährt. Das Problem wird durch einen Fehler in der Datenbindungslogik verursacht, die sowohl beim Erstellen von Objekten als auch beim manuellen Binden mithilfe von bindData verwendet wird. Das Problem wurde in den Versionen 3.3.15, 4.1.1, 5.1.9 und 5.2.1 behoben.
Darüber hinaus können wir eine Schwachstelle im Ruby-Modul tzinfo feststellen, die es ermöglicht, den Inhalt beliebiger Dateien herunterzuladen, sofern die Zugriffsrechte der angegriffenen Anwendung dies zulassen. Die Sicherheitslücke ist darauf zurückzuführen, dass die Verwendung von Sonderzeichen im Namen der in der Methode TZInfo::Timezone.get angegebenen Zeitzone nicht ordnungsgemäß überprüft wird. Das Problem betrifft Anwendungen, die nicht validierte externe Daten an TZInfo::Timezone.get übergeben. Um beispielsweise die Datei /tmp/payload zu lesen, könnten Sie einen Wert wie „foo\n/../../../tmp/payload“ angeben.
Source: opennet.ru