Haavatavused veebiraamistiku Grails ja Ruby mooduli TZInfo

Grails web-raamistikus, mis on mõeldud veebirakenduste arendamiseks MVC paradigma järgi Java, Groovy ja teiste JVM-i keeltega, on avastatud haavatavus, mis võimaldab kaugel käivitada oma koodi keskkonnas, kus veebirakendus töötab. Haavatavuse ärakasutamine toimub spetsiaalselt vormindatud päringu saatmise kaudu, mis annab ründajale ligipääsu ClassLoaderile. Probleem tuleneb andmete sidumise (data-binding) loogika puudujäägist, mida kasutatakse nii objektide loomisel kui ka käsitsi sidumisel bindData abil. Probleem on lahendatud versioonides 3.3.15, 4.1.1, 5.1.9 ja 5.2.1.

Lisaks võib mainida haavatavust Ruby moodulis tzinfo, mis võimaldab laadida mis tahes faili sisu, sõltuvalt ründatava rakenduse ligipääsuõigustest. Haavatavus on seotud piisava kontrolli puudumisega erimärkide kasutamise üle ajavööndi nimes, mida näidatakse meetodis TZInfo::Timezone.get. Probleem mõjutab rakendusi, mis edastavad TZInfo::Timezone.get-le kontrollimata väliseid andmeid. Näiteks faili /tmp/payload lugemiseks võib näidata väärtust, nagu "foo\n/..../..../..../tmp/payload".

Allikas: opennet.ru