No framework web Grails, destinado ao desenvolvimento de aplicações web conforme a paradigma MVC em Java, Groovy e outras linguagens para a JVM, foi identificada uma vulnerabilidade que permite a execução remota de código no ambiente onde a aplicação web está sendo executada. A exploração da vulnerabilidade é feita por meio do envio de uma solicitação especialmente formatada, fornecendo ao invasor acesso ao ClassLoader. O problema é causado por uma falha na lógica de vinculação de dados (data-binding), utilizada tanto na criação de objetos, quanto na vinculação manual através do bindData. O problema foi corrigido nas versões 3.3.15, 4.1.1, 5.1.9 e 5.2.1.
Adicionalmente, pode-se notar uma vulnerabilidade no módulo Ruby tzinfo, que permite carregar o conteúdo de qualquer arquivo, conforme as permissões de acesso da aplicação atacada. A vulnerabilidade está relacionada à falta de verificação adequada sobre o uso de caracteres especiais no nome do fuso horário, indicado no método TZInfo::Timezone.get. O problema afeta aplicações que passam dados externos não verificados para o TZInfo::Timezone.get. Por exemplo, para ler o arquivo /tmp/payload, pode-se especificar um valor como "foo\n/..\/..\/..\/tmp\/payload".
Fonte: opennet.ru
