Avis du CERT-FR
Objet : Vulnérabilité dans Ruby on Rails
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Ruby On Rails versions 5.2.x antérieures à 5.2.6.3
- Ruby On Rails versions 6.0.x antérieures à 6.0.4.7
- Ruby On Rails versions 6.1.x antérieures à 6.1.4.7
- Ruby On Rails versions 7.0.x antérieures à 7.0.2.3
Les versions antérieures à 5.2.0 ne sont pas affectées par la vulnérabilité.
Résumé
Une vulnérabilité a été découverte dans Ruby on Rails. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs et des mesures de contournement (cf. section Documentation).
Contournement provisoire
L'éditeur indique que les applications doivent implémenter une liste d'autorisation stricte sur les méthodes ou arguments de transformation acceptés. Une politique de sécurité stricte configurée sur image magick permet contourner la vulnérabilité.
Documentation
-
Bulletin de sécurité Ruby on Rails n-p-W1yxatI du 08 mars 2022
https://groups.google.com/g/rubyonrails-security/c/n-p-W1yxatI -
Bulletin de sécurité Rubysec CVE-2022-21831 du 08 mars 2022
https://rubysec.com/advisories/CVE-2022-21831/ -
Référence CVE CVE-2022-21831
https://www.cve.org/CVERecord?id=CVE-2022-21831
Gestion détaillée du document
| Date | Description |
|---|---|
| 09 mars 2022 | Version initiale |