In het webframework Grails, dat is ontworpen voor de ontwikkeling van webapplicaties volgens het MVC-paradigma in Java, Groovy en andere talen voor de JVM, is een kwetsbaarheid ontdekt die het mogelijk maakt om op afstand je eigen code uit te voeren in de omgeving waarin de webapplicatie draait. De exploitatie van de kwetsbaarheid gebeurt via het versturen van een speciaal opgemaakt verzoek, waarmee de aanvaller toegang krijgt tot de ClassLoader. Het probleem wordt veroorzaakt door een tekortkoming in de logica van data-binding, die wordt gebruikt zowel bij het aanmaken van objecten als bij handmatige binding met behulp van bindData. Het probleem is opgelost in de releases 3.3.15, 4.1.1, 5.1.9 en 5.2.1.
Daarnaast kan er een kwetsbaarheid worden opgemerkt in de Ruby-module tzinfo, die het mogelijk maakt om de inhoud van elk bestand te laden, afhankelijk van de toegangsrechten van de aangevallen applicatie. De kwetsbaarheid wordt veroorzaakt door het ontbreken van een juiste controle op het gebruik van speciale tekens in de naam van de tijdzone, die wordt aangegeven in de methode TZInfo::Timezone.get. Het probleem betreft applicaties die onverifieerbare externe gegevens doorgeven aan TZInfo::Timezone.get. Bijvoorbeeld, om het bestand /tmp/payload te lezen, kan een waarde zoals "foo\n/../../../../tmp/payload" worden opgegeven.
Bron: opennet.ru
