Спустя две недели с момента публикации (http://www.opennet.me/opennews/art.shtml?num=33992) информации об критической уязвимости в web-фреймворке Ruby on Rails, представлены очередные корректирующие выпуски 3.0.14 (http://weblog.rubyonrails.org/2012/6/12/ann-rails-3-0-14-has.../), 3.1.6 (http://weblog.rubyonrails.org/2012/6/12/ann-rails-3-1-6-has-.../) и 3.2.6 (http://weblog.rubyonrails.org/2012/6/12/ann-rails-3-2-6-has-.../), в который устранена очередная порция опасных уязвимостей.

Как и прошлая уязвимость новая проблема безопасности (https://groups.google.com/forum/?fromgroups#!topic/rubyonrai...) связана с реализацией обработки вложенных запросов в Active Record и позволяет осуществлить подстановку своего SQL-кода. Данная проблема по своей сути аналогична прошлой уязвимости (http://www.opennet.me/opennews/art.shtml?num=33992), но подразумевает использование немного другой техники эксплуатации, позволяющей обойти метод борьбы с уязвимостью, добавленный в прошлом выпуске Ruby on Rails. Вторая уязвимость (https://groups.google.com/forum/?fromgroups#!topic/rubyonrai...) связана с некорректным разбором параметров в Rack при использовании Active Record, что позволяет вставить в SQL-запрос условие "IS NULL".

URL: http://weblog.rubyonrails.org/2012/6/12/ann-rails-3-2-6-has-.../
Новость: http://www.opennet.me/opennews/art.shtml?num=34089

• В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 12:22 , 13-Июн-12
• В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 12:26 , 13-Июн-12
• В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 16:51 , 13-Июн-12
  • В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 20:10 , 13-Июн-12
    • В Ruby on Rails повторно устранена возможность подстановки S...,vovan, 09:40 , 14-Июн-12
      • В Ruby on Rails повторно устранена возможность подстановки S...,ffirefox, 18:17 , 14-Июн-12
• В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 17:11 , 13-Июн-12
  • В Ruby on Rails повторно устранена возможность подстановки S...,Xasd, 22:24 , 13-Июн-12
  • В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 11:03 , 14-Июн-12
• В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 01:38 , 14-Июн-12
• В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 09:49 , 14-Июн-12
• В Ruby on Rails повторно устранена возможность подстановки S...,б.б., 11:00 , 14-Июн-12
  • В Ruby on Rails повторно устранена возможность подстановки S...,Аноним, 15:15 , 14-Июн-12

При использовании Model.find_by_token(params[:token]), где params[:token] есть ['xyz', nil], он будет конвертирован в "IN ('xyz', NULL)".

И что, опять им фикс кто-то добровольно-принудительно вкоммитил? :)

Я огарчен.

> огарчен

Граммар-наци, пришлите ему за это расстрельную команду. Ну пожалуйста!

ви - тюпицца.

> ви - тюпицца.

Я так понимаю, это надо воспринимать как бравирование предательством ... родной речи? Тогда Вас не расстреляют, а повесят. На презренных предателей пуль не тратят ;)

это хорошо. чем больше закроют тем надежнее будет.

прочитал как "нежнее" :-)

> это хорошо. чем больше закроют тем надежнее будет.

Чем больше найдут - тем кривее руки у разработчиков, а значит, тем больше ненайденных и незакрытых дыр.

часто ror стал обновлятся, даже интересно

дык 4 релиз грядет

Не знаю, кто такой activerecord, но сейчас aptitude мне предложил его удалить. Видимо, ему уже надоело.

приятель, если не пользуешь раилс, ставить active*.gem не обязательно