I webbramverket Grails, som Àr avsett för utveckling av webbapplikationer enligt MVC-paradigmen pÄ Java, Groovy och andra sprÄk för JVM, har en sÄrbarhet upptÀckts som tillÄter fjÀrrkörning av egen kod i miljön dÀr webbapplikationen körs. Utnyttjande av sÄrbarheten sker genom att skicka en sÀrskilt formaterad begÀran som ger angriparen tillgÄng till ClassLoader. Problemet orsakas av brister i datakopplingslogiken (data-binding) som anvÀnds bÄde vid skapandet av objekt och vid manuell koppling med hjÀlp av bindData. Problemet har ÄtgÀrdats i versionerna 3.3.15, 4.1.1, 5.1.9 och 5.2.1.
Det kan dessutom nÀmnas en sÄrbarhet i Ruby-modulen tzinfo, som möjliggör laddning av innehÄllet i vilken fil som helst, beroende pÄ ÄtkomstrÀttigheterna för den angripna applikationen. SÄrbarheten Àr relaterad till avsaknaden av korrekt kontroll av specialtecken i namnet pÄ den tidszon som anges i metoden TZInfo::Timezone.get. Problemet pÄverkar applikationer som skickar ovÀntade externa data till TZInfo::Timezone.get. Till exempel kan vÀrdet för att lÀsa filen /tmp/payload anges som "foo\n/../..../tmp/payload".
KĂ€lla: opennet.ru
