В Ruby on Rails обнаружена уязвимость, классифицированная как проблематичная. Это затрагивает неизвестную часть файла actionpack/lib/action…
В Ruby on Rails обнаружена уязвимость, классифицированная как проблематичная. Это затрагивает неизвестную часть файла actionpack/lib/action_dispatch/middleware/templates/routes/_table.html.erb. Манипуляция приводит к межсайтовому скриптингу. Можно инициировать атаку удаленно. Реальное существование этой уязвимости на данный момент все еще вызывает сомнения. Имя патча — be177e4566747b73ff63fd5f529fab564e475ed4. Рекомендуется применить патч для исправления этой проблемы. Связанный идентификатор этой уязвимости — VDB-212319. ПРИМЕЧАНИЕ: Мейнтейнер заявляет, что нет допустимого вектора атаки. Проблема была ошибочно сообщена как уязвимость безопасности лицом, не являющимся членом команды Rails.
Программный продукт не обеспечивает или некорректно обеспечивает правильную структуру сообщений или данных и выполнение определённых свойств безопасности перед их считыванием из вышестоящего компонента или передачей в нижестоящий компонент.
https://cwe.mitre.org/data/definitions/707.html →Открыть в коллекции CWE →Продукт не нейтрализует или некорректно нейтрализует управляемые пользователем входные данные перед их включением в вывод, используемый в качестве веб-страницы, отображаемой другим пользователям.
https://cwe.mitre.org/data/definitions/79.html →Открыть в коллекции CWE →Некоторые API удаляют определённые ведущие символы из строки параметров. Злоумышленник может намеренно вставлять ведущие «фантомные» символы (дополнительные символы, не влияющие на корректность запроса на уровне API), которые позволяют входным данным пройти фильтры и тем самым обрабатываются API целевого ресурса. Это происходит, когда целевой API принимает входные данные в нескольких синтаксических формах и интерпретирует их семантически одинаково, тогда как фильтр не учитывает полный спектр синтаксических форм, допустимых для целевого API.
https://capec.mitre.org/data/definitions/3.html →Открыть в коллекции CAPEC →Слепое внедрение SQL-кода является следствием недостаточного противодействия внедрению SQL-кода. Хотя подавление сообщений об ошибках базы данных считается надлежащей практикой, одного лишь подавления недостаточно для предотвращения SQL-инъекций. Слепое внедрение SQL-кода — это форма SQL-инъекции, преодолевающая отсутствие сообщений об ошибках. Не имея сообщений об ошибках, которые облегчают SQL-инъекцию, злоумышленник формирует входные строки, зондирующие цель с помощью простых булевых SQL-выражений. Злоумышленник может определить, было ли синтаксически и структурно корректно выполнено внедрение, на основании того, был ли выполнен запрос. Применяя этот метод итеративно, злоумышленник определяет, как и где цель уязвима к SQL-инъекции.
https://capec.mitre.org/data/definitions/7.html →Открыть в коллекции CAPEC →Злоумышленник передаёт целевому программному обеспечению входные данные, содержащие последовательности специальных символов, предназначенные для обхода логики проверки входных данных. Атака основана на том, что целевая система выполняет несколько проходов по входным данным, обрабатывая «слой» специальных символов на каждом проходе. Таким образом злоумышленник может замаскировать входные данные, которые в противном случае были бы отклонены как недопустимые, скрыв их за слоями специальных символов и экранирующих последовательностей, удаляемых последующими этапами обработки. Цель состоит в том, чтобы сначала обнаружить случаи, когда уровень проверки входных данных выполняется до одного или нескольких уровней синтаксического анализа. То есть пользовательский ввод может проходить через следующую логику приложения: <parser1> --> <input validator> --> <parser2>. В таких случаях злоумышленнику необходимо предоставить входные данные, которые пройдут через валидатор входных данных, но после прохождения через parser2 будут преобразованы в нечто, что валидатор должен был заблокировать.
https://capec.mitre.org/data/definitions/43.html →Открыть в коллекции CAPEC →Злоумышленник внедряет один или несколько нулевых байтов во входные данные целевого программного обеспечения. Данная атака использует применение байта с нулевым значением в качестве терминатора строки во многих средах. Цель состоит в том, чтобы отдельные компоненты целевого программного обеспечения прекратили обработку входных данных при обнаружении нулевого байта (нулевых байтов).
https://capec.mitre.org/data/definitions/52.html →Открыть в коллекции CAPEC →Если строка проходит через фильтр какого-либо вида, терминальный NULL может оказаться недопустимым. Использование альтернативного представления NULL позволяет злоумышленнику внедрить NULL в середину строки, при этом добавив в конце корректные данные для обхода фильтра. Одним из примеров является фильтр, проверяющий наличие завершающей косой черты. Если внедрение строки возможно, но косая черта обязательна, в середине строки может быть использовано альтернативное кодирование NULL.
https://capec.mitre.org/data/definitions/53.html →Открыть в коллекции CAPEC →Злоумышленник внедряет вредоносные скрипты в содержимое, которое будет передано веб-браузерам. Цель атаки — вынудить целевое программное обеспечение, браузер на стороне клиента, выполнить скрипт с уровнем привилегий пользователя. Атаки данного типа эксплуатируют уязвимости программ, возникающие из-за предоставления удалённым хостам возможности выполнять код и скрипты. Веб-браузеры, например, имеют некоторые простые средства контроля безопасности, однако если удалённому злоумышленнику разрешено выполнять скрипты (путём их внедрения в генерируемый пользователем контент, например на форумах), эти средства могут быть обойдены. Кроме того, такие атаки крайне сложно обнаружить конечному пользователю.
https://capec.mitre.org/data/definitions/63.html →Открыть в коллекции CAPEC →Данная атака использует кодирование URL в сочетании с кодированием символов слеша. Злоумышленник может воспользоваться множеством способов кодирования URL и злоупотребить его интерпретацией. URL может содержать специальные символы, требующие особой синтаксической обработки для правильной интерпретации. Специальные символы представляются с помощью символа процента, за которым следуют две цифры, обозначающие код октета исходного символа (%HEX-КОД). Например, пробел в US-ASCII представляется как %20. Это часто называют экранированием или процентным кодированием. Поскольку сервер декодирует URL из запросов, он может ограничивать доступ к некоторым путям URL, проверяя и отфильтровывая полученные URL-запросы. Злоумышленник попытается сформировать URL с последовательностью специальных символов, которая после интерпретации сервером окажется эквивалентна запрещённому URL. Защититься от данной атаки непросто, поскольку URL может содержать другие форматы кодирования, такие как UTF-8, Unicode и т. д.
https://capec.mitre.org/data/definitions/64.html →Открыть в коллекции CAPEC →Данная атака использует обратный слеш в альтернативных кодировках. Злоумышленник может использовать обратный слеш в качестве первого символа, вынуждая парсер считать следующий символ специальным. Это называется экранированием. Используя данный приём, злоумышленник пытается эксплуатировать альтернативные способы кодирования одного и того же символа, что создаёт проблемы для фильтров и открывает пути для атак.
https://capec.mitre.org/data/definitions/78.html →Открыть в коллекции CAPEC →Данная атака направлена на кодирование символов слеша. Злоумышленник пытается эксплуатировать распространённые проблемы фильтрации, связанные с использованием символов слеша, для получения доступа к ресурсам на целевом хосте. Системы на основе каталогов, такие как файловые системы и базы данных, как правило, используют символ слеша для обозначения перехода между каталогами или другими контейнерными компонентами. По неоднозначным историческим причинам ПК (и, как следствие, ОС Microsoft) используют обратный слеш, тогда как мир UNIX традиционно применяет прямой слеш. Шизофренический результат таков, что многие MS-системы обязаны понимать обе формы слеша. Это предоставляет злоумышленнику множество возможностей для обнаружения и использования распространённых проблем фильтрации. Цель данного шаблона — обнаружить серверное программное обеспечение, применяющее фильтры только к одному варианту, но не другому.
https://capec.mitre.org/data/definitions/79.html →Открыть в коллекции CAPEC →Злоумышленник может формировать специальный пользовательский ввод, содержащий XPath-выражения, для инъекции в XML-базу данных с целью обхода аутентификации или получения информации, к которой у него обычно нет доступа. XPath-инъекция позволяет злоумышленнику взаимодействовать непосредственно с XML-базой данных, полностью обходя приложение. XPath-инъекция является следствием некорректной санитизации входных данных приложением, используемых в составе динамических XPath-выражений для запросов к XML-базе данных.
https://capec.mitre.org/data/definitions/83.html →Открыть в коллекции CAPEC →Данная атака использует XQuery для зондирования и атаки серверных систем. Аналогично тому, как SQL-инъекция позволяет злоумышленнику эксплуатировать SQL-вызовы к СУБД, XQuery-инъекция использует некорректно проверяемые данные, передаваемые в XQuery-команды, для обхода и выполнения команд, к которым имеют доступ XQuery-процедуры. XQuery-инъекция может использоваться для перечисления элементов в среде жертвы, внедрения команд на локальный хост или выполнения запросов к удалённым файлам и источникам данных.
https://capec.mitre.org/data/definitions/84.html →Открыть в коллекции CAPEC →Данная атака использует частые обмены клиент-сервер в AJAX-взаимодействии для сканирования системы. Хотя Ajax сам по себе не открывает новых уязвимостей, он оптимизирует их с точки зрения злоумышленника. Обычный первый шаг злоумышленника — разведка целевой среды для понимания, какие атаки окажутся эффективными. Поскольку разведка опирается на перечисление, разговорный шаблон быстрых множественных запросов и ответов, характерный для Ajax-приложений, позволяет злоумышленнику проверять множество уязвимостей, известных портов, сетевых ресурсов и т. д. Сведения, полученные в ходе AJAX-разведки, могут использоваться для поддержки других атак, таких как XSS.
https://capec.mitre.org/data/definitions/85.html →Открыть в коллекции CAPEC →Злоумышленник создаёт файл со сценарным содержимым, при этом указанный MIME-тип файла таков, что обработка сценариев не предполагается. Злоумышленник обманом вынуждает жертву перейти по URL-адресу, возвращающему файл сценария. Некоторые браузеры обнаруживают, что указанный MIME-тип файла не соответствует фактическому типу его содержимого, и автоматически переключаются на использование интерпретатора для реального типа содержимого. Если браузер не вызывает фильтры сценариев до этого переключения, сценарий злоумышленника может выполниться в незашифрованном виде в браузере жертвы, раскрывая cookie жертвы или выполняя произвольный сценарий в её браузере.
https://capec.mitre.org/data/definitions/209.html →Открыть в коллекции CAPEC →Злоумышленник использует специально созданные управляемые пользователем XML-входные данные для зондирования, атаки и внедрения данных в XML-базу данных, применяя техники, аналогичные внедрению SQL-кода. Управляемые пользователем входные данные могут обеспечить несанкционированный просмотр данных, обход аутентификации или фронтального приложения для прямого доступа к XML-базе данных, а также потенциальное изменение информации в базе данных.
https://capec.mitre.org/data/definitions/250.html →Открыть в коллекции CAPEC →Межкомпонентные протоколы используются для обмена данными между различными программными и аппаратными модулями в пределах одного компьютера. Распространённые примеры: сигналы прерываний и каналы данных. Нарушение работы протокола может позволить злоумышленнику выдавать себя за других лиц, обнаруживать конфиденциальные сведения, управлять результатом сессии или проводить иные атаки. Данный тип атаки использует недействительные допущения, которые могут быть присущи реализаторам протокола, некорректные реализации протокола или уязвимости в самом протоколе.
https://capec.mitre.org/data/definitions/276.html →Открыть в коллекции CAPEC →Протоколы обмена данными используются для передачи структурированных данных между субъектами. Эти протоколы нередко специфичны для конкретной предметной области (B2B: заказы на покупку, счета-фактуры, транспортная логистика и накладные, медицинские записи). Они часто, но не всегда, основаны на XML. Нарушение работы протокола может позволить злоумышленнику выдавать себя за других лиц, обнаруживать конфиденциальные сведения, управлять результатом сессии или проводить иные атаки. Данный тип атаки использует недействительные допущения, которые могут быть присущи реализаторам протокола, некорректные реализации протокола или уязвимости в самом протоколе.
https://capec.mitre.org/data/definitions/277.html →Открыть в коллекции CAPEC →Злоумышленник манипулирует протоколом, связанным с веб-службой, чтобы вызвать отличную от ожидаемой реакцию веб-приложения или веб-службы. Это может быть реализовано как путём манипуляции параметрами вызовов с включением неожиданных значений, так и путём замены вызываемой функции на ту, которая в норме должна быть ограничена или недоступна. Эксплуатируя данный шаблон атаки, злоумышленник получает доступ к данным или ресурсам, которые в норме недоступны, или вызывает аварийное завершение работы приложения или службы.
https://capec.mitre.org/data/definitions/278.html →Открыть в коллекции CAPEC →Simple Object Access Protocol (SOAP) используется как коммуникационный протокол между клиентом и сервером для вызова веб-служб на сервере. Это XML-основанный протокол и потому он страдает многими из тех же недостатков, что и другие XML-основанные протоколы. Злоумышленники могут воспользоваться этими недостатками и манипулировать содержимым параметров SOAP, что приводит к нежелательному поведению на сервере и позволяет злоумышленнику осуществлять ряд дальнейших атак.
https://capec.mitre.org/data/definitions/279.html →Открыть в коллекции CAPEC →Злоумышленник использует внедрение каскадных таблиц стилей (CSS) для кражи данных из другого домена в браузере жертвы. Атака основана на злоупотреблении стандартами загрузки CSS: 1. Файлы cookie отправляются при любой загрузке CSS (в том числе межсайтовой). 2. При синтаксическом анализе возвращённого CSS игнорируются все данные, не имеющие смысла, до тех пор пока CSS-анализатор не обнаружит допустимый CSS-дескриптор.
https://capec.mitre.org/data/definitions/468.html →Открыть в коллекции CAPEC →Данный тип атаки представляет собой форму межсайтового скриптинга (XSS), при которой вредоносный скрипт внедряется в HTML-код на стороне клиента, разбираемый веб-браузером. Содержимое, передаваемое уязвимым веб-приложением, включает код скрипта, предназначенный для манипулирования объектной моделью документа (DOM). Этот код скрипта либо не выполняет надлежащую проверку входных данных, либо не проводит корректного кодирования вывода, что создаёт возможность для внедрения злоумышленником вредоносного скрипта и проведения XSS-атаки. Ключевое отличие DOM-атак от других XSS-атак состоит в том, что при иных XSS-атаках вредоносный скрипт выполняется при первоначальной загрузке уязвимой веб-страницы, тогда как DOM-атака выполняется спустя некоторое время после загрузки страницы. Ещё одна особенность DOM-атак заключается в том, что в ряде случаев вредоносный скрипт вообще не отправляется на уязвимый веб-сервер. Такая атака гарантированно обходит любые попытки серверной фильтрации для защиты пользователей.
https://capec.mitre.org/data/definitions/588.html →Открыть в коллекции CAPEC →Данный тип атаки является формой межсайтового скриптинга (XSS), при которой вредоносный скрипт «отражается» от уязвимого веб-приложения и затем выполняется браузером жертвы. Процесс начинается с доставки злоумышленником вредоносного скрипта жертве и убеждения её отправить скрипт уязвимому веб-приложению.
https://capec.mitre.org/data/definitions/591.html →Открыть в коллекции CAPEC →Злоумышленник использует форму межсайтового скриптинга (XSS), при которой вредоносный скрипт постоянно «хранится» в хранилище данных уязвимого веб-приложения в качестве допустимых входных данных.
https://capec.mitre.org/data/definitions/592.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails | Отслеживается | |
| rails-4.0 | Отслеживается | |
| ruby-actionpack-3.2 | Отслеживается | |
| ruby-activemodel-3.2 | Отслеживается | |
| ruby-activerecord-3.2 | Отслеживается | |
| ruby-activesupport-3.2 | Отслеживается | |
| ruby-rails-3.2 | Отслеживается | |
| rails | * | Отслеживается |