Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Ruby On Rails versions 5.2.x antérieures à 5.2.6.3
- Ruby On Rails versions 6.0.x antérieures à 6.0.4.7
- Ruby On Rails versions 6.1.x antérieures à 6.1.4.7
- Ruby On Rails versions 7.0.x antérieures à 7.0.2.3
Les versions antérieures à 5.2.0 ne sont pas affectées par la vulnérabilité.
Résumé
Une vulnérabilité a été découverte dans Ruby on Rails. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs et des mesures de contournement (cf. section Documentation).
Contournement provisoire
L'éditeur indique que les applications doivent implémenter une liste d'autorisation stricte sur les méthodes ou arguments de transformation acceptés. Une politique de sécurité stricte configurée sur image magick permet contourner la vulnérabilité.
Documentation
- Bulletin de sécurité Ruby on Rails n-p-W1yxatI du 08 mars 2022 https://groups.google.com/g/rubyonrails-security/c/n-p-W1yxatI
- Bulletin de sécurité Rubysec CVE-2022-21831 du 08 mars 2022 https://rubysec.com/advisories/CVE-2022-21831/
- Référence CVE CVE-2022-21831 https://www.cve.org/CVERecord?id=CVE-2022-21831
