The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В Ruby on Rails устранена уязвимость, допускающая подстановку SQL-кода

20.01.2023 13:09

Опубликованы корректирующие обновления фреймворка Ruby on Rails 7.0.4.1, 6.1.7.1 и 6.0.6.1, в которых устранено 6 уязвимостей. Наиболее опасная уязвимость (CVE-2023-22794) может привести к выполнению заданных атакующим SQL-команд при использовании внешних данных в комментариях, обрабатываемых в ActiveRecord. Проблема вызвана отсутствием необходимого экранирования спецсимволов в комментариях перед их сохранением в СУБД.

Вторая уязвимость (CVE-2023-22797) может применяться к организации проброса на другие страницы (открытый редирект) при использовании непроверенных внешних данных в обработчике redirect_to. Остальные 4 уязвимости приводят к отказу в обслуживании из-за создания высокой нагрузки на систему (в основном из-за обработки внешних данных в неэффективных и длительно выполняемых регулярных выражениях).

  1. Главная ссылка к новости (https://rubyonrails.org/2023/1...)
  2. OpenNews: Обновление Ruby и Rails с устранением уязвимостей
  3. OpenNews: Релиз web-фреймворка Ruby on Rails 5.0
  4. OpenNews: Новые выпуски Ruby on Rails 4.0.9 и 4.1.5 с устранением уязвимости
  5. OpenNews: В Rails устранена уязвимость, позволяющая осуществить подстановку SQL-кода
  6. OpenNews: Обновление Ruby on Rails 3.2.12, 3.1.11 и 2.3.17 с устранением критической уязвимости
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/58519-rubyonrails
Ключевые слова: rubyonrails
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (40) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 13:20, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > ActiveRecord
    > Проблема вызвана отсутствием необходимого экранирования

    Но как, Бэрримор?

     
     
  • 2.2, хрю (?), 13:28, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Подросло поколение не знающих, что такое SQL инъекции? Они же бичЪ php.
     
     
  • 3.6, Аноним (6), 13:53, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    помню в нулевые чуть ли не каждый второй сайт на пыхе имел это. Проверять можно было тупо подставляя апостроф в конец айдишника урла, типа news.php?id=123'. Обычно приводило к ошибкам mysql и headers already sent. Далее опционально можно было вводить остальную часть запроса, на античате выкладывали готовые методички, как действовать дальше в зависимости от ответа сервера.
     
     
  • 4.12, хрю (?), 14:28, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    20 лет назад, наспор ломал любой порнушный сайт :-))) ибо они были все написаны студентами на 3 php в понятно каком стиле.
     
     
  • 5.17, Порнушник (?), 15:56, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Так вот кто мне сайт в 2002 году сломал? Ирод, окаянный!
     
  • 5.23, Бывалый смузихлёб (?), 16:22, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +3 +/
    вот из-за кого с тех пор количество годных прон-сайтов в рунете сильно поубавилось!
     
  • 5.26, Аноним (26), 16:57, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    я в 2002 году начинал писать на php, повсеместно уже был php4, php3 было найти не так просто :) проще сайты на perl было найти :)
     
  • 3.9, Аноним (1), 14:07, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Кажется, кто-то не вкурил, что такое ActiveRecord и об чём был пост.
     
     
  • 4.11, хрю (?), 14:25, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    В рельсах реализация шаблона ActiveRecord, называется, внезапно, ActiveRecord.
     
     
  • 5.19, Порнушник (?), 15:57, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Раз они такие умные чего дыру у себя сделали тогда? Не нужны нам эти ваши руби.
     

  • 1.3, mos87 (ok), 13:37, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Little Bobby Tables strikes again.

    зато Ruby крутой, для ценителей ёпт.

     
  • 1.4, Вечно недовольный аноним (?), 13:40, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А что полезного написано с РоРом кроме дисковода из соседней новости? Я думал вебом управляет питон и вордпресс, помогите просветиться.
     
     
  • 2.5, Васян (?), 13:46, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    GitHub пойдёт?

    Twitch, SoundCloud, Airbnb......

     
     
  • 3.8, Аноним (8), 13:55, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Кто-то в трезвом уме пользуется GitHub-ом?!
     
     
  • 4.14, Васян (?), 15:16, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Так, немного, 70 миллионов всего... Вот лохи, правда? Зашли бы на опеннет, тут бы им быстро и авторитетно растолковали всю глубину их невежества...
     
     
  • 5.20, Вы забыли заполнить поле Name (?), 15:58, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    И сколько из 70 Лямов там Гуанахуато на жс каком-нибудь или зеркал?
     
  • 3.15, Вечно недовольный аноним (?), 15:21, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    А гитхаб уже хакнули?
     
     
  • 4.16, Аноним (16), 15:52, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вроде как их уже хакали по рельсам.
     
     
  • 5.36, Аноним (36), 00:11, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Гитхаб в 2012 эпично хакнули залив пулл-реквест в репу РоРа с исправлением эксплойта, благодаря которому хак был возможен.
    https://arstechnica.com/information-technology/2012/03/hacker-commandeers-gith
     
     
  • 6.40, Вы забыли заполнить поле Name (?), 01:15, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Гитхаб в 2012 эпично хакнули залив пулл-реквест в репу РоРа с исправлением
    > эксплойта, благодаря которому хак был возможен.
    > https://arstechnica.com/information-technology/2012/03/hacker-commandeers-gith

    Да, помню эту историю, Хомяков красавчик.

     
  • 4.43, Аноним (43), 10:12, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Да https://www.opennet.dev/opennews/art.shtml?num=33268
     
  • 3.18, Вы забыли заполнить поле Name (?), 15:57, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    github enterprise жрет как в не себя
    SoundCloud во всю на go перешёл
     
  • 2.13, хрю (?), 14:33, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Не знаю как сейчас, но вроде одно время сайт нетфликс был на рельсе (остатки былого https://github.com/Netflix/fast_jsonapi). В одно время рельса была прям жутко популярна.
     
     
  • 3.24, Бывалый смузихлёб (?), 16:32, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > В одно время рельса была прям жутко популярна.

    В одно, очень небольшое время. Но оно показало, насколько заказчики в среднем ослы - без каких-либо внятных обоснований, когда рубин-на-рельсах был на слуху, требовали пилить бэк именно на нём, а не на каком-то там пыхе или питоне
    В итоге, многие сейчас в поту бегают и ищут хоть кого-то на поддержку своих говносерверов

    Складывается ощущение, что энная группа лиц или ИТ-контор специально предварительно раскурила р-н-р, после - пустила мощный медийный шум и срубила очень славные деньги на разработке на этом, пока остальные только расшевеливались в изучении этих отходов, а самые денежные и модные заказчики - уже требовали срочно забрать все их деньги и сделать хоть что-то на этом б-жественном непойми чём.
    Ну а то что по всяким хренабрам и его последователям славный шум разошёлся - так такова участь придатков западных инфоканалов. Они всегда будут лишь догоняющими холопами, а заказчики их - влезающими в д.мо по самые уши, ведь никто из адептов-пейсателей восторженных статеек по теме великого и крутого рубина-на-рельсах абсолютно ни за что не отвечает в плане издержек конечного заказчика из-за рубина, внезапно превратившегося в тыкву

     
     
  • 4.44, хрю (?), 16:02, 22/01/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    >> Но оно показало, насколько заказчики в среднем ослы

    Почему ослы? Им надо быстро выйти на рынок и занять нишу и получить инвестиции, что будет потом и будет ли это потом дело десятое. В своё время рельса была в этом деле тру. Ниша занята, инвестиционное быбло получено, можно нанимать нормальных разрабов, думать и пилить.  

     
     
  • 5.46, Бывалый смузихлёб (?), 16:35, 24/01/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >>> Но оно показало, насколько заказчики в среднем ослы
    > Почему ослы? Им надо быстро выйти на рынок и занять нишу и
    > получить инвестиции, что будет потом и будет ли это потом дело
    > десятое. В своё время рельса была в этом деле тру. Ниша
    > занята, инвестиционное быбло получено, можно нанимать нормальных разрабов, думать и пилить.

    Они бы это и с супер развитым пыхом могли запросто, но там даже не ниша, а тупо разработка под заказ и конечный результат участников вообще не волнует
    А по рубину на рельсах - не было ничего, кроме пачки влажных розовых статеек на х*бре

     
  • 2.22, ShpurloS (?), 16:04, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Redmine
     
  • 2.25, Аноним (-), 16:55, 20/01/2023 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 2.31, Petya (??), 20:23, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Навскидку Github, Gitlab, Stripe, Zendesk, Upwork, Kickstarter, Mastodon, Twitter, Netflix. Много где используется. Смотрел статистику стартапов-единорогов(которые выросли в итоге в миллиардные бизнесы) из долины и на каком стеке изначально они поднимались. Так там добрая половина проектов была именно на RoR. не пхп, не питон, а именно рельсы, меня это удивило.
     
     
  • 3.35, Вы забыли заполнить поле Name (?), 23:36, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Twitter разве не на скале?
     
     
  • 4.37, Аноним (36), 00:15, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Его потом кусками переписывали на микросервисы на Скале, изначально он на рельсах работал.
     
     
  • 5.38, Вы забыли заполнить поле Name (?), 01:11, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Его потом кусками переписывали на микросервисы на Скале, изначально он на рельсах
    > работал.

    Значит надо так и писать, что использовался.

     

  • 1.10, Аноним (10), 14:09, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ну вот нахрена устранили, ведь так удобненько было!
     
  • 1.21, Вы забыли заполнить поле Name (?), 16:00, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Поезд сошёл с рельс. Быстро хайп прошёл. Лозунг программист дороже железа забыт. Вот так вот сынки.
     
     
  • 2.32, Аноним (32), 22:18, 20/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Лозунг программист дороже железа забыт.

    ну да.... То то сейчас по рейтингам популярности питон на первом месте, хотя ни эффективности в скорости написания кода в сравнении с Руби, ни эффективности выполнения не имеет.

     
     
  • 3.39, Вы забыли заполнить поле Name (?), 01:13, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >> Лозунг программист дороже железа забыт.
    > ну да.... То то сейчас по рейтингам популярности питон на первом месте,
    > хотя ни эффективности в скорости написания кода в сравнении с Руби,
    > ни эффективности выполнения не имеет.

    Для питона куча биндингов и либ. А когда дело доходит до цены за ресурсы, то с него уходят на другие инструменты.

     
     
  • 4.42, Аноним (32), 08:44, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Для питона куча биндингов и либ. А когда дело доходит до цены за ресурсы, то с него уходят на другие инструменты.

    Совершенно верно, питону в вебе не место. Хотя, сложно вообще найти применение питону кроме как какие-то скриптики конфигурирования чего-то или копирования файлов

     

  • 1.27, Аноним (27), 16:58, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Не знаю Ruby и шаблон ActiveRecord, но предпочитаю prepared statement  экранированию.
    Подготовленные запросы заведомо более безопасны, чем экранирование
     
  • 1.30, Аноним (30), 19:56, 20/01/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Руби (РоР) любят за понятный человеку ближе синтаксис.
     
     
  • 2.41, Вы забыли заполнить поле Name (?), 01:18, 21/01/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Руби (РоР) любят за понятный человеку ближе синтаксис.

    У тебя syntax error

    Руби (РоР) любят за понятный человеку ближе синтаксис end

    Поправил, не благодари.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру