Úgy tűnik, az idei év slágere a Java mellet a Ruby (on Rails) lesz: a bugvadászok újabb, szerializációval kapcoslatos problémát találtak a RoR 2.3.x és 3.0.x változatainak egyik JSON parserében. A probléma oka - hasonlóan az előző sérülékenységhez - az, hogy a JSON formátumú adatok feldolgozásakor a keretrendszer bizonyos esetekben YAML-ként értelmezi a bemenetet, így a JSON kontrollálásával a felhasználó bármilyen Ruby objektumot példányosíthat, ami könnyedén az alkalmazás-kontrollok megkerüléséhez vagy kódfuttatáshoz vezethet*.

Megoldás a verziófrissítés, a patchelés, vagy alternatív JSON parser választása lehet. A 3.1-es és 3.2-es RoR változatok, valamint a yajl gemet használó alkalmazások nem érintettek.

* Egy erre járó Ruby guru elmagyarázhatná, hogy ez az eval miért is fut le

Friss (2013. 01. 30. - 13:28): Itt a MSF modul

Friss (2013.01.31. - 13:08): A sérülékenység kihasználásával hatoltak be a Rubygems.org-ra, folyamatos státuszinfó Twitteren.