Ruby on Rails 3.2.11, 3.1.10, 3.0.19 a 2.3.15

Byly vydány nové verze Ruby on Rails. Verze 3.2.11, 3.1.10, 3.0.19 a 2.3.15 řeší dva závažné bezpečnostní problémy CVE-2013-0155 a CVE-2013-0156 (obejití autentizačního systému, SQL injection, vložení a spuštění libovolného kódu, DoS útok, ...). Doporučena je okamžitá aktualizace. Před týdnem byly vydány verze 3.2.10, 3.1.9 a 3.0.18. Řešen byl bezpečnostní problém CVE-2012-5664 (SQL injection).

9.1.2013 17:03 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[eventually consistent]

Je to hodne desivy bug, po precitani 2 blogpostov som si bol schopny spravit exploit aj ja. Ak nemate moznost upgradu (shared hosting ...) tak tento patch by mal stacit

ActionDispatch::ParamsParser::DEFAULT_PARSERS.delete(Mime::XML)

[lmb]

nestačí …

ActiveSupport::XmlMini::PARSING.delete("symbol")
ActiveSupport::XmlMini::PARSING.delete("yaml")

tedy určeno pro Rails 3.x

[Lukáš Zapletal]

Stačí, když se zalepí díra v XML, tak už nejde použít symbol ani yaml.