Представлены корректирующие выпуски web-фреймворка Ruby on Rails  2.3.14 (http://weblog.rubyonrails.org/2011/8/16/ann-rails-2-3-14) и 3.0.10 (http://weblog.rubyonrails.org/2011/8/16/ann-rails-3-0-10), в которых устранено 5 уязвимостей (http://secunia.com/advisories/45648/). Одна из уязвимостей (http://groups.google.com/group/rubyonrails-security/browse_t...), связанная с недостаточной проверкой внешних значений, обрабатываемых методом "quote_table_name", может быть использована для подстановки SQL-кода и получения полного контроля над БД сайта.

Дополнительно исправлены две (http://groups.google.com/group/rubyonrails-security/browse_t...) недоработки (http://groups.google.com/group/rubyonrails-security/browse_t...), позволяющие осуществить подстановку JavaScript-блоков на сайт (межсайтовый скриптинг). Одна ошибка позволяет (http://groups.google.com/group/rubyonrails-security/browse_t......

URL: http://weblog.rubyonrails.org/2011/8/16/ann-rails-2-3-14
Новость: http://www.opennet.me/opennews/art.shtml?num=31523

• Критическая уязвимость во фреймворке Ruby on Rails ,KO, 09:21 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,Аноним, 10:10 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,Аноним, 11:54 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,rshadow, 14:07 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,all_glory_to_the_hypnotoad, 18:07 , 18-Авг-11
    • Критическая уязвимость во фреймворке Ruby on Rails ,myc, 20:36 , 18-Авг-11
    • Критическая уязвимость во фреймворке Ruby on Rails ,Аноним, 21:59 , 18-Авг-11
    • Критическая уязвимость во фреймворке Ruby on Rails ,ы, 12:28 , 19-Авг-11
    • Критическая уязвимость во фреймворке Ruby on Rails ,sugar, 00:44 , 21-Авг-11
• Критическая уязвимость во фреймворке Ruby on Rails ,бедный буратино, 10:40 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,UbuntoidLinuxoid, 17:40 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,northbear, 17:45 , 18-Авг-11
• Критическая уязвимость во фреймворке Ruby on Rails ,re, 11:25 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,бедный буратино, 11:34 , 18-Авг-11
    • Критическая уязвимость во фреймворке Ruby on Rails ,re, 11:43 , 18-Авг-11
      • Критическая уязвимость во фреймворке Ruby on Rails ,бедный буратино, 11:45 , 18-Авг-11
        • Критическая уязвимость во фреймворке Ruby on Rails ,re, 12:02 , 18-Авг-11
          • Критическая уязвимость во фреймворке Ruby on Rails ,Ivan1986, 14:05 , 18-Авг-11
• Критическая уязвимость во фреймворке Ruby on Rails ,Аноним, 11:28 , 18-Авг-11
  • Критическая уязвимость во фреймворке Ruby on Rails ,re, 11:33 , 18-Авг-11

Уже лет 10 не слышу об SQL-инфекциях про perl-сайты. Это особенность перла или отсутствие таких сайтов?

SQL-инъекциях? Про SQL-инфекции я тоже давненько не слыхал.

> Уже лет 10 не слышу об SQL-инфекциях про perl-сайты. Это особенность перла
> или отсутствие таких сайтов?

Это особенность модулей DBI, при использовании которых можно написать скрипт с наличием инъекции только специально сильно этого захотев.

Это особенность высокого порога вхождения

уже +20 лет не видел сайты на перл. мб по этому не слышал об инъекциях?

немалая часть проектов yandex, mail.ru, rambler работает на перле.
мало?

> уже +20 лет не видел сайты на перл. мб по этому не
> слышал об инъекциях?

opennet на perl - http://www.opennet.me/guide.shtml#hw

> уже +20 лет не видел сайты на перл.

это связно с тем, что очень многие люди не видят того, что находится у них перед их носом. :)

У нашей конторы все проекты на Perl, фреймворке Mojolicious - http://mojolicio.us/
Пишем, сдаем, не жалуемся.
Кстати, фреймворк, упомянутый мной, отличная альтернатива рельсам на перле.

Это что, пока обновление из Debian не выйдет, дебиановский redmine лучше гасить?

В redmine уязвимостей нет. Были уязвимости в рельсах. Обновлять надо рельсы.
Когда будем читать то что написано, а не то что хочется?

Редмайн в паблик лучше не выставлять... Он сам по себе довольно коряво написан.

что такое дебианевский редмине?

> что такое дебианевский редмине?

Redmine из стандартного комплекта Debian. В Debian rails 2.3.5

>> что такое дебианевский редмине?
> Redmine из стандартного комплекта Debian. В Debian rails 2.3.5

благодарю, он же по дефолту отсутствует в установке, у меня он по дефолту, ура =)

> благодарю, он же по дефолту отсутствует в установке, у меня он по дефолту, ура =)

Ну я набрал apt-get install redmine, правда из squeeze-backports (1.1.2), а теперь волнуюсь, в security.debian.org пусто. Может быть, эта проблема нас вообще не касается, а может быть - спят ещё.

>> благодарю, он же по дефолту отсутствует в установке, у меня он по дефолту, ура =)
> Ну я набрал apt-get install redmine, правда из squeeze-backports (1.1.2), а теперь
> волнуюсь, в security.debian.org пусто. Может быть, эта проблема нас вообще не
> касается, а может быть - спят ещё.

на oneiric есть такой но инстал не делал, и без него вроде всегда обхожусь

в oneiric оно поломано :(

Что такое редмине?

> Что такое редмине?

redmine