ग्रेल्स वेब फ्रेमवर्क आणि TZInfo रुबी मॉड्यूलमधील भेद्यता

ग्रेल्स वेब फ्रेमवर्कमध्ये एक असुरक्षितता ओळखली गेली आहे, जे जावा, ग्रूवी आणि JVM साठी इतर भाषांमधील MVC पॅराडाइमनुसार वेब ऍप्लिकेशन विकसित करण्यासाठी डिझाइन केलेले आहे, जे तुम्हाला तुमचा कोड ज्या वातावरणात वेब आहे त्या वातावरणात दूरस्थपणे कार्यान्वित करू देते. अनुप्रयोग चालू आहे. आक्रमणकर्त्याला ClassLoader मध्ये प्रवेश प्रदान करणारी खास डिझाइन केलेली विनंती पाठवून असुरक्षिततेचा फायदा घेतला जातो. डेटा-बाइंडिंग लॉजिकमधील त्रुटीमुळे ही समस्या उद्भवली आहे, जी ऑब्जेक्ट्स तयार करताना आणि बाइंडडेटा वापरून मॅन्युअली बाइंडिंग करताना वापरली जाते. रिलीझ 3.3.15, 4.1.1, 5.1.9 आणि 5.2.1 मध्ये समस्या निश्चित केली गेली आहे.

याव्यतिरिक्त, आम्ही tzinfo Ruby मॉड्युलमध्ये एक असुरक्षा लक्षात घेऊ शकतो, जो आक्रमण केलेल्या ऍप्लिकेशनच्या प्रवेश अधिकारांना परवानगी देतो तोपर्यंत कोणत्याही फाईलची सामग्री लोड करण्यास परवानगी देतो. असुरक्षा TZInfo::Timezone.get पद्धतीमध्ये निर्दिष्ट केलेल्या टाइम झोन नावातील विशेष वर्णांच्या वापरासाठी योग्य तपासणीच्या अभावाशी संबंधित आहे. ही समस्या TZInfo::Timezone.get ला अप्रमाणित बाह्य डेटा पास करणार्‍या अनुप्रयोगांवर परिणाम करते. उदाहरणार्थ, /tmp/payload फाइल वाचण्यासाठी, तुम्ही "foo\n/../../../tmp/payload" सारखे मूल्य निर्दिष्ट करू शकता.

स्त्रोत: opennet.ru