Grails വെബ് ചട്ടക്കൂടിലെയും TZInfo Ruby മൊഡ്യൂളിലെയും കേടുപാടുകൾ

JVM-നുള്ള ജാവ, ഗ്രൂവി, മറ്റ് ഭാഷകൾ എന്നിവയിലെ MVC മാതൃകയ്ക്ക് അനുസൃതമായി വെബ് ആപ്ലിക്കേഷനുകൾ വികസിപ്പിക്കുന്നതിനായി രൂപകൽപ്പന ചെയ്ത ഗ്രെയ്ൽസ് വെബ് ചട്ടക്കൂടിൽ ഒരു അപകടസാധ്യത തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇത് വെബ് പരിതസ്ഥിതിയിൽ നിങ്ങളുടെ കോഡ് വിദൂരമായി എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ആപ്ലിക്കേഷൻ പ്രവർത്തിക്കുന്നു. ആക്രമണകാരിക്ക് ClassLoader-ലേക്ക് ആക്‌സസ് നൽകുന്ന പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത ഒരു അഭ്യർത്ഥന അയച്ചുകൊണ്ട് അപകടസാധ്യത പ്രയോജനപ്പെടുത്തുന്നു. ഒബ്‌ജക്‌റ്റുകൾ സൃഷ്‌ടിക്കുമ്പോഴും bindData ഉപയോഗിച്ച് സ്വമേധയാ ബൈൻഡുചെയ്യുമ്പോഴും ഉപയോഗിക്കുന്ന ഡാറ്റ-ബൈൻഡിംഗ് ലോജിക്കിലെ ഒരു പിഴവാണ് പ്രശ്‌നത്തിന് കാരണം. 3.3.15, 4.1.1, 5.1.9, 5.2.1 എന്നീ പതിപ്പുകളിൽ പ്രശ്നം പരിഹരിച്ചു.

കൂടാതെ, ആക്രമിക്കപ്പെട്ട ആപ്ലിക്കേഷന്റെ ആക്‌സസ് അവകാശങ്ങൾ അനുവദിക്കുന്നിടത്തോളം, ഏത് ഫയലിന്റെയും ഉള്ളടക്കങ്ങൾ ലോഡുചെയ്യാൻ അനുവദിക്കുന്ന tzinfo Ruby മൊഡ്യൂളിൽ ഒരു അപകടസാധ്യത ഞങ്ങൾക്ക് ശ്രദ്ധിക്കാനാകും. TZInfo::Timezone.get മെത്തേഡിൽ വ്യക്തമാക്കിയ സമയമേഖലാ നാമത്തിൽ പ്രത്യേക പ്രതീകങ്ങൾ ഉപയോഗിക്കുന്നതിനുള്ള ശരിയായ പരിശോധനയുടെ അഭാവവുമായി ബന്ധപ്പെട്ടതാണ് അപകടസാധ്യത. TZInfo::Timezone.get എന്നതിലേക്ക് സാധുതയില്ലാത്ത ബാഹ്യ ഡാറ്റ കൈമാറുന്ന ആപ്ലിക്കേഷനുകളെ ഈ പ്രശ്നം ബാധിക്കുന്നു. ഉദാഹരണത്തിന്, /tmp/payload ഫയൽ വായിക്കാൻ, നിങ്ങൾക്ക് "foo\n/../../../tmp/payload" പോലെയുള്ള ഒരു മൂല്യം വ്യക്തമാക്കാം.

അവലംബം: opennet.ru