ग्रेल्स वेब फ्रेमवर्क और TZInfo रूबी मॉड्यूल में कमजोरियाँ

ग्रेल्स वेब फ्रेमवर्क में एक भेद्यता की पहचान की गई है, जिसे जेवीएम के लिए जावा, ग्रूवी और अन्य भाषाओं में एमवीसी प्रतिमान के अनुसार वेब एप्लिकेशन विकसित करने के लिए डिज़ाइन किया गया है, जो आपको उस वातावरण में अपने कोड को दूरस्थ रूप से निष्पादित करने की अनुमति देता है जिसमें वेब एप्लिकेशन चल रहा है. विशेष रूप से डिज़ाइन किया गया अनुरोध भेजकर भेद्यता का फायदा उठाया जाता है जो हमलावर को क्लासलोडर तक पहुंच प्रदान करता है। समस्या डेटा-बाइंडिंग लॉजिक में एक दोष के कारण होती है, जिसका उपयोग ऑब्जेक्ट बनाते समय और बाइंडडेटा का उपयोग करके मैन्युअल रूप से बाइंडिंग करते समय किया जाता है। समस्या को रिलीज़ 3.3.15, 4.1.1, 5.1.9 और 5.2.1 में ठीक कर दिया गया है।

इसके अतिरिक्त, हम tzinfo रूबी मॉड्यूल में एक भेद्यता को नोट कर सकते हैं, जो किसी भी फ़ाइल की सामग्री को लोड करने की अनुमति देता है, जहां तक ​​​​हमला किए गए एप्लिकेशन के एक्सेस अधिकार अनुमति देते हैं। भेद्यता TZInfo::Timezone.get विधि में निर्दिष्ट समय क्षेत्र नाम में विशेष वर्णों के उपयोग के लिए उचित जांच की कमी से संबंधित है। यह समस्या उन अनुप्रयोगों को प्रभावित करती है जो अमान्य बाहरी डेटा को TZInfo::Timezone.get पर भेजते हैं। उदाहरण के लिए, फ़ाइल /tmp/payload को पढ़ने के लिए, आप "foo\n/../../../tmp/payload" जैसा मान निर्दिष्ट कर सकते हैं।

स्रोत: opennet.ru