Car-tech

Ruby on Rails primește cel de-al treilea patch de securitate în mai puțin de o lună

Introduction to routing in Rails

Introduction to routing in Rails
Anonim

Dezvoltatorii platformei de dezvoltare web Ruby on Rails au lansat luni versiunile 3.0.20 și 2.3.16 ale programului pentru a vulnerabilitate la execuția codului la distanță

Aceasta este cea de-a treia actualizare de securitate lansată în ianuarie pentru Ruby on Rails, un cadru din ce în ce mai popular pentru dezvoltarea aplicațiilor Web folosind limbajul de programare Ruby folosit pentru a construi site-uri precum Hulu, GroupOn, GitHub, Scribd și alții

Dezvoltatorii Rails au descris actualizările lansate luni ca fiind "extrem de critice" într-o postare pe blog și au sfătuit pe toți utilizatorii din sucursalele de software Rails 3.0.x și 2.3.x să se actualizeze imediat. citiți: Cum să eliminați programele malware de pe computerul dvs. Windows

Conform unei recomandări de securitate corespunzătoare, versiunile lansate de Rails abordează o vulnerabilitate în codul Rails JSON (JavaScript Object Notation) care permite atacatorilor să ocolească sistemele de autentificare, (Language Structured Query Language) într-o bază de date a unei aplicații, să injectați și să executați un cod arbitrar sau să efectuați un atac DoS împotriva unei aplicații.

Dezvoltatorii Rails au subliniat că, în ciuda primirii acestei actualizări, Rails 3.0.x ramura nu mai este susținută oficial. "Vă rugăm să rețineți că numai seria 2.3.x, 3.1.x și 3.2.x sunt suportate în prezent", au spus în avizul consultativ.

Utilizatorii versiunilor Rails care nu mai sunt susținuți au fost sfătuiți să facă upgrade cât mai curând posibil la o versiune mai nouă, suportată, deoarece nu se poate garanta disponibilitatea continuă a remedierilor de securitate pentru versiunile neacceptate. Ramificațiile mai noi 3.1.x și 3.2.x Rails nu sunt afectate de această vulnerabilitate.

Această vulnerabilitate ulterioară Rails este identificată ca CVE-2013-0333 și este diferită de CVE-2013-0156, o vulnerabilitate critică de injecție SQL patch-uri în pe 8 ianuarie. Dezvoltatorii Rails au subliniat faptul că utilizatorii de Rails 2.3 sau 3.0 care au instalat anterior soluția pentru CVE-2013-0156 sunt încă obligați să instaleze noua remediere lansată în această săptămână