Ruby on Rails até 3.2.17/4.0.4/4.1.0 Implicit Render render_implicit_action_test.rb Travessia de Diretório

CVSS Meta Pontuação TemporáriaPreço atual do exploit (≈)Nota de Interesse CTI
6.7$0-$5k0.00

Sumárioinformação

Uma vulnerabilidade foi encontrada em Ruby on Rails até 3.2.17/4.0.4/4.1.0. Foi classificada como crítico. Afectado é uma função desconhecida do ficheiro render_implicit_action_test.rb do componente Implicit Render Handler. O tratamento leva a Travessia de Diretório. A vulnerabilidade é identificada como CVE-2014-0130. Além disso, há uma exploração disponível. Recomenda-se a actualização do componente afectado.

Detalhesinformação

Uma vulnerabilidade foi encontrada em Ruby on Rails até 3.2.17/4.0.4/4.1.0. Foi classificada como crítico. Afectado é uma função desconhecida do ficheiro render_implicit_action_test.rb do componente Implicit Render Handler. O tratamento leva a Travessia de Diretório. Usar CWE para declarar o problema leva a CWE-22. O problema foi divulgado 06/05/2014 como Rails 3.2.18, 4.0.5 and 4.1.1 have been released! como Release Notes (Site). O aconselhamento é partilhado para download em weblog.rubyonrails.org.

A vulnerabilidade é identificada como CVE-2014-0130. A atribuição do CVE aconteceu em 03/12/2013. Os detalhes técnicos estão disponíveis. A vulnerabilidade não é bem conhecida. Além disso, há uma exploração disponível. Atualmente, o preço atual de um exploit pode ser aproximadamente USD $0-$5k no momento. O projecto MITRE ATT&CK declara a técnica de ataque como T1006.

Está declarado como altamente funcional. Como 0 dia, o preço estimado do subsolo foi de cerca de $0-$5k. O scanner de vulnerabilidade Nessus fornece um plugin com o ID 75375 (openSUSE Security Update : rubygem-actionpack-3_2 (openSUSE-SU-2014:0718-1)), que ajuda a determinar a existência da falha num ambiente alvo. É atribuído à família SuSE Local Security Checks. Está a contar com o porto 0. O scanner de vulnerabilidade comercial Qualys é capaz de testar este problema com plugin 123420 (Fedora Security Update for rubygem-actionpack (FEDORA-2014-15371)).

A actualização para a versão 3.2.18, 4.0.5 e 4.1.1 é capaz de abordar esta questão. A atualização está disponível para download em github.com. Recomenda-se a actualização do componente afectado. A recomendação traz a seguinte observação:

These three releases contain important security fix, so please upgrade as soon as possible! In order to make upgrading as smooth as possible, we've only included commits directly related to each security issue.

A vulnerabilidade consta ainda em outros bancos de dados de vulnerabilidades: SecurityFocus (BID 67244), X-Force (93202), Secunia (SA58120), SecurityTracker (ID 1030210) e Vulnerability Center (SBV-44715).

Produtoinformação

Tipo

Nome

Versão

Licença

CPE 2.3informação

CPE 2.2informação

CVSSv4informação

VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

CVSSv3informação

VulDB Meta Pontuação Base: 6.8
VulDB Meta Pontuação Temporária: 6.7

VulDB Pontuação Base: 5.3
VulDB Pontuação Temporária: 5.1
VulDB Vetor: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 7.5
NVD Vetor: 🔍

ADP CISA Pontuação Base: 7.5
ADP CISA Vetor: 🔍

CVSSv2informação

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplexidadeAutenticaçãoConfidencialidadeIntegridadeDisponibilidade
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Pontuação Base: 🔍
VulDB Pontuação Temporária: 🔍
VulDB Fiabilidade: 🔍

NVD Pontuação Base: 🔍

Exploraçãoinformação

Classe: Travessia de Diretório
CWE: CWE-22
CAPEC: 🔍
ATT&CK: 🔍

Físico: Não
Local: Não
Remoto: Sim

Disponibilidade: 🔍
Estado: Atacado

EPSS Score: 🔍
EPSS Percentile: 🔍

KEV Adicionado: 🔍
KEV Até quando: 🔍
KEV Medidas: 🔍
KEV Ransomware: 🔍
KEV Nota: 🔍

Tendência de preços: 🔍
Estimativa de preço atual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HojeDesbloquearDesbloquearDesbloquearDesbloquear

Nessus ID: 75375
Nessus Nome: openSUSE Security Update : rubygem-actionpack-3_2 (openSUSE-SU-2014:0718-1)
Nessus Ficheiro: 🔍
Nessus Risco: 🔍
Nessus Família: 🔍
Nessus Port: 🔍

OpenVAS ID: 702929
OpenVAS Nome: Debian Security Advisory DSA 2929-1 (ruby-actionpack-3.2 - security update
OpenVAS Ficheiro: 🔍
OpenVAS Família: 🔍

Qualys ID: 🔍
Qualys Nome: 🔍

Inteligência de ameaçasinformação

Interesse: 🔍
Atores ativos: 🔍
Grupos APT ativos: 🔍

Contramedidasinformação

Recomendação: Atualização
Estado: 🔍

Tempo de resposta: 🔍
Tempo 0-dia: 🔍
Tempo de exposição: 🔍

Atualização: Ruby on Rails 3.2.18/4.0.5/4.1.1
Patch: github.com

Linha do tempoinformação

03/12/2013 🔍
06/05/2014 +154 dias 🔍
06/05/2014 +0 dias 🔍
06/05/2014 +0 dias 🔍
06/05/2014 +0 dias 🔍
07/05/2014 +1 dias 🔍
08/05/2014 +1 dias 🔍
08/05/2014 +0 dias 🔍
08/05/2014 +0 dias 🔍
01/06/2014 +24 dias 🔍
13/06/2014 +12 dias 🔍
22/04/2026 +4331 dias 🔍

Fontesinformação

Aconselhamento: Rails 3.2.18, 4.0.5 and 4.1.1 have been released!
Estado: Confirmado

CVE: CVE-2014-0130 (🔍)
GCVE (CVE): GCVE-0-2014-0130
GCVE (VulDB): GCVE-100-13169
X-Force: 93202
SecurityFocus: 67244 - Ruby on Rails 'implicit render' Functionality Directory Traversal Vulnerability
Secunia: 58120 - Ruby on Rails "implicit render" Arbitrary File Disclosure Vulnerability, Moderately Critical
OSVDB: 106704
SecurityTracker: 1030210 - Ruby on Rails 'Implicit Render' Bug Lets Remote Users Obtain Files From the Target System
Vulnerability Center: 44715 - Ruby on Rails Remote Directory Traversal in Certain Route Configurations, Medium

scip Labs: https://www.scip.ch/en/?labs.20161013
Veja também: 🔍

Entradainformação

Criado: 08/05/2014 11h01
Atualizado: 22/04/2026 16h48
Ajustamentos: 08/05/2014 11h01 (86), 29/05/2017 10h24 (3), 19/06/2021 11h36 (3), 24/04/2024 09h07 (26), 16/07/2024 23h31 (12), 09/09/2024 22h29 (1), 22/04/2026 16h48 (11)
Completo: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Discussão

Ainda sem comentários. Idiomas: pt + es + en.

Por favor, inicie sessão para comentar.

◂ VoltarVisão GeralPróximo ▸

Do you know our Splunk app?

Download it now for free!