En el framework web Grails, diseñado para desarrollar aplicaciones web según el paradigma MVC en Java, Groovy y otros lenguajes para JVM, se ha identificado una vulnerabilidad que permite ejecutar de forma remota su código en el entorno en el que se encuentra la web. La aplicación se está ejecutando. La vulnerabilidad se explota enviando una solicitud especialmente diseñada que le da al atacante acceso al ClassLoader. El problema se debe a una falla en la lógica de enlace de datos, que se usa tanto al crear objetos como al enlazar manualmente usando bindData. El problema se resolvió en las versiones 3.3.15, 4.1.1, 5.1.9 y 5.2.1.
Además, podemos observar una vulnerabilidad en el módulo tzinfo de Ruby, que permite descargar el contenido de cualquier archivo, siempre que lo permitan los derechos de acceso de la aplicación atacada. La vulnerabilidad se debe a la falta de una verificación adecuada del uso de caracteres especiales en el nombre de la zona horaria especificada en el método TZInfo::Timezone.get. El problema afecta a las aplicaciones que pasan datos externos no validados a TZInfo::Timezone.get. Por ejemplo, para leer el archivo /tmp/payload, puede especificar un valor como "foo\n/../../../tmp/payload".
Fuente: opennet.ru