BUGTRAQ ID: 58554
CVE(CAN) ID: CVE-2013-1856
Ruby on Rails简称RoR或Rails,是一个使用Ruby语言写的开源Web应用框架,它是严格按照MVC结构开发的。
Ruby on Rails 3.0.0及之后版本在使用JRuby时,ActiveSupport XML解析器的JDOM后端内存在漏洞,攻击者可利用此漏洞造成拒绝服务或访问应用服务器上的文件。
0
Ruby on Rails 3.x
Ruby on Rails 2.x
临时解决方法:
如果您不能立刻安装补丁或者升级,建议您采取以下措施以降低威胁:
ActiveSupport::XmlMini.backend="REXML"
厂商补丁:
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://www.rubyonrails.com/
http://seclists.org/oss-sec/2013/q1/att-680/3-0-jdom.patch
http://seclists.org/oss-sec/2013/q1/att-680/3-2-jdom.patch
http://seclists.org/oss-sec/2013/q1/att-680/3-1-jdom.patch
http://seclists.org/oss-sec/2013/q1/att-680/_bin