Eng Schwachstelle gouf am Grails Web Kader identifizéiert, entwéckelt fir Webapplikatiounen am Aklang mat dem MVC Paradigma an Java, Groovy an aner Sprooche fir de JVM z'entwéckelen, wat Iech erlaabt Äre Code op afstand auszeféieren an der Ëmwelt an där de Web Applikatioun leeft. D'Schwachheet gëtt exploitéiert andeems Dir eng speziell entwéckelt Ufro schéckt, déi den Ugräifer Zougang zum ClassLoader gëtt. De Problem gëtt duerch e Feeler an der Dateverbindungslogik verursaacht, déi souwuel benotzt gëtt wann Dir Objekter erstellt wéi och wann Dir manuell bindData benotzt. D'Thema gouf an de Releases 3.3.15, 4.1.1, 5.1.9 an 5.2.1 fixéiert.
Zousätzlech kënne mir eng Schwachstelle am tzinfo Ruby Modul bemierken, deen den Inhalt vun all Fichier erlaabt, souwäit d'Zougangsrechter vun der attackéierter Applikatioun et erlaben. D'Schwachheet ass am Zesummenhang mat dem Mangel u korrekten Iwwerpréiwung fir d'Benotzung vu speziellen Zeechen am Zäitzonenumm, deen an der TZInfo :: Timezone.get Method spezifizéiert ass. De Problem beaflosst Uwendungen déi onvalidéiert extern Donnéeën un TZInfo :: Timezone.get weiderginn. Zum Beispill, fir d'Datei /tmp/payload ze liesen, kënnt Dir e Wäert uginn wéi "foo\n/../../../tmp/payload".
Source: opennet.ru