Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Újabb Rails hiba (2.3.x, 3.0.x)

2013.01.28. 23:06 | buherator | 3 komment

Úgy tűnik, az idei év slágere a Java mellet a Ruby (on Rails) lesz: a bugvadászok újabb, szerializációval kapcoslatos problémát találtak a RoR 2.3.x és 3.0.x változatainak egyik JSON parserében. A probléma oka - hasonlóan az előző sérülékenységhez - az, hogy a JSON formátumú adatok feldolgozásakor a keretrendszer bizonyos esetekben YAML-ként értelmezi a bemenetet, így a JSON kontrollálásával a felhasználó bármilyen Ruby objektumot példányosíthat, ami könnyedén az alkalmazás-kontrollok megkerüléséhez vagy kódfuttatáshoz vezethet*.

Megoldás a verziófrissítés, a patchelés, vagy alternatív JSON parser választása lehet. A 3.1-es és 3.2-es RoR változatok, valamint a yajl gemet használó alkalmazások nem érintettek.

* Egy erre járó Ruby guru elmagyarázhatná, hogy ez az eval miért is fut le

Friss (2013. 01. 30. - 13:28): Itt a MSF modul

Friss (2013.01.31. - 13:08): A sérülékenység kihasználásával hatoltak be a Rubygems.org-ra, folyamatos státuszinfó Twitteren.

Címkék: ruby on rails ruby json yaml

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

synapse · http://www.synsecblog.com 2013.01.31. 12:04:07

Nem azert, mert peldanyositaskor konstruktor lesz belole (konstruktor fogja hivni)? Pythonban ez van a pickle eseten.

buherator · http://buhera.blog.hu 2013.01.31. 13:12:33

Itt elvileg azt magyarázzák, hogy a []= metódus volt a kulcs az előző (nagyon hasonló) sploit esetében:

community.rapid7.com/community/metasploit/blog/2013/01/09/serialization-mischief-in-ruby-land-cve-2013-0156