Vulnerabilities in the Grails web framework and Ruby module TZInfo

Grails web- raamistikus, mis on mõeldud veebirakenduste arendamiseks MVC paradigmaga Java, Groovy ja teiste JVM-i keeltes, leiti haavatavus, mis võimaldab kaugelt käivitada teie koodi keskkonnas, kus veebirakendus töötab. Haavatavuse ärakasutamine toimub spetsiaalselt vormindatud päringu saatmise kaudu, mis annab ründajale juurdepääsu ClassLoaderile. Probleem tuleneb andmete sidumise (data-binding) loogika puudulikust rakendamisest, mis on vajalik objektide loomisel ja manu sidumisel bindData abil. Probleem on lahendatud versioonides 3.3.15, 4.1.1, 5.1.9 ja 5.2.1.

Lisaks võib märkida ka Ruby mooduli tzinfo haavatavust, mis võimaldab laadida iga faili sisu vastavalt ründava rakenduse õigustele. Haavatavus on seotud piisava kontrolli puudumisega erimärkide kasutamise üle ajavööndi nime puhul, mis on määratud meetodis TZInfo::Timezone.get. Probleem mõjutab rakendusi, mis edastavad TZInfo::Timezone.get-le kontrollimata väliseid andmeid. Näiteks faili /tmp/payload lugemiseks võib määrata väärtuse nagu „foo\n/..//..//..//tmp/payload”.

Allikas: opennet.ru