Ruby on Rails の Action Pack のパラメータ解析に起因する任意コード実行の脆弱性（Scan Tech Report）

1.概要
Ruby on Rails には、Action Pack のパラメータ解析処理に起因する任意コード実行の脆弱性が存在します。
リモートの第三者に利用されると、Ruby on Rails が設置された Web サーバ上で、任意の Ruby コードが実行される可能性があります。この脆弱性を悪用しようとした攻撃が国内で観測されたという情報もあることから、影響を受けるバージョンの Ruby on Rails を利用する環境では、可能な限り以下に記載する対策の実施を推奨します。

2.深刻度(CVSS)
7.5
http://nvd.nist.gov/cvss.cfm?name=&vector=(AV:N/AC:L/Au:N/C:P/I:P/A:P)&version=2

3.影響を受けるソフトウェア ※
Rails 3.2.11 より前の 3.2 系
Rails 3.1.10 より前の 3.1 系
Rails 3.0.19 より前の 3.0 系
Rails 2.3.15 より前の 2.3 系

4.解説
Ruby on Rails はウェブアプリケーションフレームワークです。この Ruby on Rails において MVC(Model View Controller) の View および Controller の役割を担う、Action Pack のパラメータ解析処理に起因する脆弱性が存在します。

Ruby on Rails は、Action Pack のパラメータ解析により、文字列を特定のデータ型に自動的にキャストします。しかし、YAML 解析やシンボル生成を含むデータのキャスト処理に不備があるため、細工したリクエストを送信することで、Ruby on Rails が設置された Web サーバ上において任意の Ruby コードが実行される可能性があります。

なお、Action Pack のパラメータ解析処理に起因する脆弱性により、任意コード実行以外に、認証回避や SQL インジェクションの被害が発生する可能性があります。これらの脆弱性には CVE-2013-0156 が割り当てられています(*1)。

実際、この脆弱性を悪用しようとした攻撃が国内で観測されたという情報があります(*2)。危険性の高い脆弱性ですので、可能な限り対策の実施を推奨します。

(*1): https://groups.google.com/forum/#!topic/rubyonrails-security/61bkgvnSGTQ/discussion
(*2): https://www-304.ibm.com/connections/blogs/tokyo-soc/entry/cve-2013-0156?lang=ja

5.対策
下記の Web サイトから必要なソフトウェアを入手し、対策済みの Ruby on
Rails にアップデートすることで、この脆弱性を解消することが可能です。

Ruby on Rails: Download
http://rubyonrails.org/download

また、回避策を適用することで、本脆弱性の影響を低減することが可能です。
・XML の解析処理を無効にする
・XML の解析処理において YAML およびシンボルのサポートを無効にする
・YAML の解析処理を無効にする

6.ソースコード
（Web非公開）

（執筆：株式会社ラック　サイバー脅威分析センター）

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html

Ruby on Rails の Action Pack のパラメータ解析に起因する任意コード実行の脆弱性（Scan Tech Report）

関連記事

Microsoft Internet Explorer の vgx.dll の実装に起因する整数オーバーフローの脆弱性（Scan Tech Report）

Oracle Java SE 7 の DriverManager クラスの実装に起因する任意コード実行の脆弱性（Scan Tech Report）

nginx の Chunked Transfer Coding 処理におけるスタックバッファーオーバーフローの脆弱性（Scan Tech Report）

Mozilla Firefox のセキュリティ制限の実装に起因する任意コード実行の脆弱性（Scan Tech Report）

関連リンク

特集

アクセスランキング

護衛艦いなづまの艦長、資格のない隊員を特定秘密取扱職員に指名し懲戒処分

ランサムウェア被害の原因はスターティア社の UTM テストアカウント削除忘れ

「意識を高揚させよう」と思い特定秘密の情報を知るべき立場にない隊員に特定秘密の情報を漏らす、懲戒処分に

社内不正 1位情報持ち出し・2位横領・3位労働問題～被害企業 230 社調査

メディキットホームページに不正アクセス、閲覧障害に

デジサートのEV証明書の記載フォーマットに誤り、再発行とサーバへの入れ替え呼びかけ

今日もどこかで情報漏えい第23回「2024年3月の情報漏えい」なめるなという決意ここまでやるという矜恃

Proofpoint Blog 36回「身代金を払わない結果日本のランサムウェア感染率減少？感染率と身代金支払率 15 ヶ国調査 2024」

日本は悪意ある内部犯行による漏えいが 12 ヶ国中最小、プルーフポイント「Data Loss Landscape 2024（情報漏えいの全容）」日本語版

経団連、個人情報保護法に基づく漏えい報告や本人通知にリソースを割く現状を問題視