Sårbarheter i web-rammeverket Grails og Ruby-modulen TZInfo

I web-rammeverket Grails, som er ment for utvikling av web-applikasjoner i henhold til MVC-paradigmet på Java, Groovy og andre språk for JVM, er det funnet en sårbarhet som tillater fjernutførelse av egen kode i miljøet der web-applikasjonen kjører. Utnyttelse av sårbarheten skjer ved å sende en spesialutformet forespørsel som gir angriperen tilgang til ClassLoader. Problemet skyldes en feil i logikken for datainbinding (data-binding), som brukes både ved opprettelse av objekter og ved manuell binding via bindData. Problemet er løst i utgavene 3.3.15, 4.1.1, 5.1.9 og 5.2.1.

I tillegg kan man nevne en sårbarhet i Ruby-modulen tzinfo, som tillater lasting av innholdet i hvilken som helst fil, så langt rettighetene til det angrepne programmet tillater. Sårbarheten er knyttet til mangel på tilstrekkelig sjekk for bruk av spesialtegn i navnet på tidssonen som angis i metoden TZInfo::Timezone.get. Problemet påvirker applikasjoner som overfører usjekkede eksterne data til TZInfo::Timezone.get. For eksempel kan man spesifisere verdien "foo\n/..../..../..../tmp/payload" for å lese filen /tmp/payload.

Kilde: opennet.ru