Rack предоставляет интерфейс для разработки веб-приложений на Ruby. До версий 2.2.11, 3.0.12 и 3.1.10, Rack::CommonLogger может быть подвер…
Rack предоставляет интерфейс для разработки веб-приложений на Ruby. До версий 2.2.11, 3.0.12 и 3.1.10, Rack::CommonLogger может быть подвергнут эксплуатации путем создания ввода, содержащего символы новой строки, для манипуляции записями журналов. Предоставленное доказательство концепции демонстрирует инъекцию вредоносного содержимого в журналы. Когда пользователь предоставляет учетные данные авторизации через Rack::Auth::Basic, при успешном входе имя пользователя будет помещено в env['REMOTE_USER'] и позже будет использоваться Rack::CommonLogger для целей логирования. Проблема возникает, когда сервер намеренно или непреднамеренно позволяет создание пользователя с именем, содержащим символы CRLF и пробелы, или сервер просто хочет записать все попытки входа. Если злоумышленник вводит имя пользователя с символом CRLF, регистратор запишет вредоносное имя пользователя с символами CRLF в файл журнала. Злоумышленники могут нарушить форматы журналов или вставить поддельные записи, потенциально скрывая реальную активность или инъектируя вредоносные данные в журналы. Версии 2.2.11, 3.0.12 и 3.1.10 содержат исправление.
Продукт использует CRLF (возврат каретки и перевод строки) в качестве специального элемента — например, для разделения строк или записей, — однако не нейтрализует или некорректно нейтрализует последовательности CRLF во входных данных.
https://cwe.mitre.org/data/definitions/93.html →Открыть в коллекции CWE →Атака данного типа эксплуатирует уязвимости программы, позволяющие злоумышленнику конкатенировать собственные команды с легитимными командами с целью атаки на другие ресурсы, такие как файловая система или база данных. Система, использующая фильтр или проверку входных данных на основе списка запрещённых значений, в отличие от проверки на основе разрешающего списка, уязвима для злоумышленника, способного предсказывать разделители (или их комбинации), отсутствующие в фильтре или списке запрещённых значений. Как и другие атаки внедрения, злоумышленник использует полезную нагрузку с разделителем команд в качестве точки входа для туннелирования через приложение и активации дополнительных атак посредством SQL-запросов, команд командного интерпретатора, сетевого сканирования и т. д.
https://capec.mitre.org/data/definitions/15.html →Открыть в коллекции CAPEC →Атаки типа «Фальсификация журналов веб-сервера» предполагают внедрение, удаление или иное изменение содержимого журналов веб-сервера злоумышленником, как правило, с целью сокрытия других вредоносных действий. Кроме того, запись вредоносных данных в файлы журналов может быть направлена против задач, фильтров, отчётов и других агентов, обрабатывающих журналы в асинхронном шаблоне атаки. Данный шаблон атаки схож с «Внедрением/фальсификацией/подделкой журналов», за исключением того, что в данном случае атака направлена на журналы веб-сервера, а не приложения.
https://capec.mitre.org/data/definitions/81.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| ruby-rack | Отслеживается | |
| rack | * | Отслеживается |