David Heinemeier Hansson Ruby on Rails bis 4.0.1 Third-Party Libraries NULL/WHERE erweiterte Rechte

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
9.5$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in David Heinemeier Hansson Ruby on Rails bis 4.0.1 gefunden. Das betrifft eine unbekannte Funktionalität der Komponente Third-Party Libraries/Custom Rack Middleware Parsing. Durch das Beeinflussen des Arguments NULL/WHERE mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2013-6417 bekannt. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine sehr kritische Schwachstelle in David Heinemeier Hansson Ruby on Rails bis 4.0.1 (Programming Language Software) entdeckt. Hiervon betroffen ist ein unbekannter Codeblock der Komponente Third-Party Libraries/Custom Rack Middleware Parsing. Mit der Manipulation des Arguments NULL/WHERE mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-264 vorgenommen. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

actionpack/lib/action_dispatch/http/request.rb in Ruby on Rails before 3.2.16 and 4.x before 4.0.2 does not properly consider differences in parameter handling between the Active Record component and the JSON implementation, which allows remote attackers to bypass intended database-query restrictions and perform NULL checks or trigger missing WHERE clauses via a crafted request that leverages (1) third-party Rack middleware or (2) custom Rack middleware. NOTE: this vulnerability exists because of an incomplete fix for CVE-2013-0155.

Die Schwachstelle wurde am 03.12.2013 durch Sudhir Rao als Incomplete fix to CVE-2013-0155 (Unsafe Query Generation Risk) in Form eines bestätigten Mailinglist Posts (oss-sec) publik gemacht. Das Advisory kann von seclists.org heruntergeladen werden. Die Veröffentlichung geschah dabei in Koordination mit dem Hersteller. Im Advisory ist nachzulesen:

The prior fix to CVE-2013-0155 was incomplete and the use of common 3rd party libraries can accidentally circumvent the protection. This vulnerability has been assigned the CVE identifier CVE-2013-6417.
Die Verwundbarkeit wird seit dem 04.11.2013 unter CVE-2013-6417 geführt. Sie gilt als schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 02.06.2021). Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1068.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 73239 (Debian DSA-2888-1 : ruby-actionpack-3.2 - security update) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Debian Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 12793 (Ruby on Rails Multiple Vulnerabilities) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 3.2.16 oder 4.0.2 vermag dieses Problem zu beheben. Eine neue Version kann von rubyonrails.org bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. David Heinemeier Hansson hat sofort reagiert. Das Advisory stellt fest:

To work around this issue you need to audit your middleware chain and ensure that each of the libraries in use does not create an instance of Rack::Request.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (89438), Tenable (73239), SecurityFocus (BID 64106†), OSVDB (100527†) und Vulnerability Center (SBV-42615†) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter VDB-11373, VDB-11374, VDB-11375 und VDB-65653. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Produktinfo

Typ

Hersteller

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 10.0
VulDB Meta Temp Score: 9.5

VulDB Base Score: 10.0
VulDB Temp Score: 9.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-264
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 73239
Nessus Name: Debian DSA-2888-1 : ruby-actionpack-3.2 - security update
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

OpenVAS ID: 702888
OpenVAS Name: Debian Security Advisory DSA 2888-1 (ruby-actionpack-3.2 - security update
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: Ruby on Rails 3.2.16/4.0.2
Workaround: Audit Middleware Chain

Timelineinfo

04.11.2013 🔍
03.12.2013 +29 Tage 🔍
03.12.2013 +0 Tage 🔍
03.12.2013 +0 Tage 🔍
05.12.2013 +2 Tage 🔍
06.12.2013 +1 Tage 🔍
17.12.2013 +11 Tage 🔍
02.06.2021 +2724 Tage 🔍

Quelleninfo

Advisory: Incomplete fix to CVE-2013-0155 (Unsafe Query Generation Risk)
Person: Sudhir Rao
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2013-6417 (🔍)
GCVE (CVE): GCVE-0-2013-6417
GCVE (VulDB): GCVE-100-11376
X-Force: 89438
SecurityFocus: 64106
OSVDB: 100527
Vulnerability Center: 42615 - Ruby on Rails Before 3.2.16 and 4.* Before 4.0.2 RemoteSecurity Bypass Vulnerability in actionpack/lib/action_dispatch/http/request.rb, Medium

Siehe auch: 🔍

Eintraginfo

Erstellt: 05.12.2013 14:33
Aktualisierung: 02.06.2021 17:27
Anpassungen: 05.12.2013 14:33 (56), 17.05.2017 12:31 (27), 02.06.2021 17:27 (3)
Komplett: 🔍
Editor:
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!