ຊ່ອງໂຫວ່ໃນກອບເວັບ Grails ແລະໂມດູນ TZInfo Ruby

ໃນກອບເວັບ Grails, ຖືກອອກແບບມາສໍາລັບການພັດທະນາຄໍາຮ້ອງສະຫມັກເວັບໂດຍສອດຄ່ອງກັບ MVC paradigm ໃນ Java, Groovy ແລະພາສາອື່ນໆສໍາລັບ JVM, ຊ່ອງໂຫວ່ໄດ້ຖືກລະບຸວ່າຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດລະຫັດຂອງທ່ານຫ່າງໄກສອກຫຼີກໃນສະພາບແວດລ້ອມທີ່ເວັບ. ແອັບພລິເຄຊັນກຳລັງເຮັດວຽກຢູ່. ຊ່ອງໂຫວ່ຖືກຂູດຮີດໂດຍການສົ່ງຄໍາຮ້ອງຂໍທີ່ສ້າງຂຶ້ນພິເສດທີ່ໃຫ້ຜູ້ໂຈມຕີເຂົ້າເຖິງ ClassLoader. ບັນຫາແມ່ນເກີດມາຈາກຂໍ້ບົກພ່ອງໃນ logic ການຜູກມັດຂໍ້ມູນ, ເຊິ່ງຖືກນໍາໃຊ້ທັງໃນເວລາສ້າງວັດຖຸແລະໃນເວລາທີ່ຜູກມັດດ້ວຍຕົນເອງໂດຍໃຊ້ bindData. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນການປ່ອຍ 3.3.15, 4.1.1, 5.1.9, ແລະ 5.2.1.

ນອກຈາກນັ້ນ, ພວກເຮົາສາມາດສັງເກດເຫັນຊ່ອງໂຫວ່ຢູ່ໃນໂມດູນ Ruby tzinfo, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດດາວໂຫລດເນື້ອຫາຂອງໄຟລ໌ໃດໆ, ເທົ່າທີ່ສິດການເຂົ້າເຖິງຂອງແອັບພລິເຄຊັນທີ່ຖືກໂຈມຕີອະນຸຍາດໃຫ້. ຊ່ອງໂຫວ່ແມ່ນເນື່ອງມາຈາກການຂາດການກວດສອບທີ່ຖືກຕ້ອງສໍາລັບການນໍາໃຊ້ຕົວອັກສອນພິເສດໃນຊື່ຂອງເຂດເວລາທີ່ກໍານົດໄວ້ໃນວິທີການ TZInfo::Timezone.get. ບັນຫາມີຜົນຕໍ່ແອັບພລິເຄຊັນທີ່ສົ່ງຜ່ານຂໍ້ມູນພາຍນອກທີ່ບໍ່ໄດ້ກວດສອບໄປໃຫ້ TZInfo::Timezone.get. ຕົວຢ່າງ, ເພື່ອອ່ານໄຟລ໌ /tmp/payload, ທ່ານສາມາດລະບຸຄ່າເຊັ່ນ "foo\n/../../../tmp/payload".

ແຫຼ່ງຂໍ້ມູນ: opennet.ru