Risque(s)

• Exécution de code arbitraire à distance

Systèmes affectés

• Ruby On Rails versions 5.2.x antérieures à 5.2.6.3
• Ruby On Rails versions 6.0.x antérieures à 6.0.4.7
• Ruby On Rails versions 6.1.x antérieures à 6.1.4.7
• Ruby On Rails

versions 7.0.x antérieures à 7.0.2.3

Les versions antérieures à 5.2.0 ne sont pas affectées par la vulnérabilité.

Résumé

Une vulnérabilité a été découverte dans Ruby on Rails. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.

Contournement provisoire

L'éditeur indique que les applications doivent implémenter une liste d'autorisation stricte sur les méthodes ou arguments de transformation acceptés. Une politique de sécurité stricte configurée sur image magick permet contourner la vulnérabilité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs et des mesures de contournement (cf. section Documentation).

Documentation

• Bulletin de sécurité Ruby on Rails n-p-W1yxatI du 08 mars 2022
  https://groups.google.com/g/rubyonrails-security/c/n-p-W1yxatI
• Bulletin de sécurité Rubysec CVE-2022-21831 du 08 mars 2022
  https://rubysec.com/advisories/CVE-2022-21831/
• Référence CVE CVE-2022-21831
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-21831