Vulnérabilités dans le framework web Grails et le module Ruby TZInfo

Dans le framework web Grails, conçu pour le développement d'applications web selon la paradigme MVC en Java, Groovy et d'autres langages pour la JVM, une vulnérabilité a été découverte, permettant d'exécuter à distance son propre code dans l'environnement où l'application web s'exécute. L'exploitation de la vulnérabilité se fait par l'envoi d'une requête spécialement formulée, donnant accès au ClassLoader à l'attaquant. Le problème est causé par un défaut dans la logique de liaison de données (data-binding), utilisée tant lors de la création d'objets que lors de la liaison manuelle via bindData. Ce problème a été corrigé dans les versions 3.3.15, 4.1.1, 5.1.9 et 5.2.1.

On peut également signaler une vulnérabilité dans le module Ruby tzinfo, permettant de charger le contenu de n'importe quel fichier, selon les droits d'accès de l'application ciblée. La vulnérabilité est liée à l'absence de vérification appropriée concernant l'utilisation de caractères spéciaux dans le nom de fuseau horaire, spécifié dans la méthode TZInfo::Timezone.get. Le problème affecte les applications transmettant des données externes non vérifiées à TZInfo::Timezone.get. Par exemple, pour lire le fichier /tmp/payload, on peut spécifier une valeur telle que « foo\n/..../..../tmp/payload ».

Source : opennet.ru