Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • Ruby On Rails versions 5.2.x antérieures à 5.2.6.3
  • Ruby On Rails versions 6.0.x antérieures à 6.0.4.7
  • Ruby On Rails versions 6.1.x antérieures à 6.1.4.7
  • Ruby On Rails versions 7.0.x antérieures à 7.0.2.3

Les versions antérieures à 5.2.0 ne sont pas affectées par la vulnérabilité.

Résumé

Une vulnérabilité a été découverte dans Ruby on Rails. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs et des mesures de contournement (cf. section Documentation).

Contournement provisoire

L'éditeur indique que les applications doivent implémenter une liste d'autorisation stricte sur les méthodes ou arguments de transformation acceptés. Une politique de sécurité stricte configurée sur image magick permet contourner la vulnérabilité.

Documentation