റൂബി ഓൺ റെയിൽസിൽ SQL സബ്സ്റ്റിറ്റ്യൂഷൻ കേടുപാടുകൾ പരിഹരിച്ചു

റൂബി ഓൺ റെയിൽസ് ചട്ടക്കൂടിലേക്കുള്ള തിരുത്തൽ അപ്‌ഡേറ്റുകൾ 7.0.4.1, 6.1.7.1, 6.0.6.1 എന്നിവ പ്രസിദ്ധീകരിച്ചു, അതിൽ 6 കേടുപാടുകൾ പരിഹരിച്ചിരിക്കുന്നു. ഏറ്റവും അപകടകരമായ കേടുപാടുകൾ (CVE-2023-22794) ActiveRecord-ൽ പ്രോസസ്സ് ചെയ്ത അഭിപ്രായങ്ങളിൽ ബാഹ്യ ഡാറ്റ ഉപയോഗിക്കുമ്പോൾ ആക്രമണകാരി വ്യക്തമാക്കിയ SQL കമാൻഡുകളുടെ നിർവ്വഹണത്തിലേക്ക് നയിച്ചേക്കാം. ഡിബിഎംഎസിൽ സേവ് ചെയ്യുന്നതിനു മുമ്പ് കമന്റുകളിൽ പ്രത്യേക പ്രതീകങ്ങൾ ആവശ്യമായ എസ്കേപ്പ് ഇല്ലാത്തതാണ് പ്രശ്‌നത്തിന് കാരണം.

redirect_to ഹാൻഡ്‌ലറിൽ പരിശോധിച്ചുറപ്പിക്കാത്ത ബാഹ്യ ഡാറ്റ ഉപയോഗിക്കുമ്പോൾ മറ്റ് പേജുകളിലേക്ക് ഫോർവേഡ് ചെയ്യുന്നതിന് (ഓപ്പൺ റീഡയറക്‌ട്) രണ്ടാമത്തെ അപകടസാധ്യത (CVE-2023-22797) പ്രയോഗിക്കാവുന്നതാണ്. ശേഷിക്കുന്ന 4 കേടുപാടുകൾ സിസ്റ്റത്തിലെ ഉയർന്ന ലോഡ് കാരണം സേവനം നിഷേധിക്കുന്നതിലേക്ക് നയിക്കുന്നു (പ്രധാനമായും കാര്യക്ഷമമല്ലാത്തതും സമയമെടുക്കുന്നതുമായ പതിവ് എക്സ്പ്രഷനുകളിൽ ബാഹ്യ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്നത് കാരണം).

അവലംബം: opennet.ru