Identificouse unha vulnerabilidade no framework web Grails, deseñado para desenvolver aplicacións web de acordo co paradigma MVC en Java, Groovy e outras linguaxes para a JVM, que lle permite executar de forma remota o seu código no entorno no que se atopa a web. aplicación está en execución. A vulnerabilidade é explotada enviando unha solicitude especialmente deseñada que proporciona ao atacante acceso ao ClassLoader. O problema é causado por unha falla na lóxica de vinculación de datos, que se usa tanto ao crear obxectos como ao enlazar manualmente mediante bindData. O problema foi solucionado nas versións 3.3.15, 4.1.1, 5.1.9 e 5.2.1.
Ademais, podemos observar unha vulnerabilidade no módulo tzinfo Ruby, que permite cargar o contido de calquera ficheiro, na medida en que o permitan os dereitos de acceso da aplicación atacada. A vulnerabilidade está relacionada coa falta de comprobación adecuada para o uso de caracteres especiais no nome do fuso horario especificado no método TZInfo::Timezone.get. O problema afecta ás aplicacións que pasan datos externos non validados a TZInfo::Timezone.get. Por exemplo, para ler o ficheiro /tmp/payload, pode especificar un valor como "foo\n/../../../tmp/payload".
Fonte: opennet.ru