Grails वेब फ्रेमवर्क र TZInfo रुबी मोड्युलमा कमजोरीहरू

Grails वेब फ्रेमवर्कमा, जाभा, Groovy र JVM को लागि अन्य भाषाहरूमा MVC प्रतिमान अनुसार वेब अनुप्रयोगहरू विकास गर्न डिजाइन गरिएको, एक जोखिम पहिचान गरिएको छ जसले तपाईंलाई टाढाको वातावरणमा तपाईंको कोड कार्यान्वयन गर्न अनुमति दिन्छ जहाँ वेब। आवेदन चलिरहेको छ। आक्रमणकारीलाई क्लासलोडरमा पहुँच प्रदान गर्ने विशेष रूपमा तयार गरिएको अनुरोध पठाएर कमजोरीको शोषण गरिन्छ। समस्या डाटा-बाइन्डिङ तर्कमा त्रुटिको कारणले गर्दा भएको हो, जुन वस्तुहरू सिर्जना गर्दा र म्यानुअल रूपमा bindData प्रयोग गरेर बाइन्डिङ गर्दा प्रयोग गरिन्छ। समस्या 3.3.15, 4.1.1, 5.1.9, र 5.2.1 विज्ञप्तिमा समाधान गरिएको थियो।

थप रूपमा, हामी रुबी मोड्युल tzinfo मा एक कमजोरी नोट गर्न सक्छौं, जसले तपाईंलाई कुनै पनि फाइलको सामग्री डाउनलोड गर्न अनुमति दिन्छ, जहाँसम्म आक्रमण गरिएको अनुप्रयोगको पहुँच अधिकारले अनुमति दिन्छ। TZInfo::Timezone.get विधिमा निर्दिष्ट गरिएको समय क्षेत्रको नाममा विशेष क्यारेक्टरहरूको प्रयोगको लागि उचित जाँचको कमीको कारणले गर्दा यो जोखिम हो। मुद्दाले TZInfo::Timezone.get मा अप्रमाणित बाह्य डेटा पास गर्ने अनुप्रयोगहरूलाई असर गर्छ। उदाहरणका लागि, फाइल /tmp/payload पढ्नको लागि, तपाईंले "foo\n/../../../tmp/payload" जस्तो मान निर्दिष्ट गर्न सक्नुहुन्छ।

स्रोत: opennet.ru