Ruby on Rails の Action Pack のパラメータ解析に起因する任意コード実行の脆弱性（Scan Tech Report）
Ruby on Rails には、Action Pack のパラメータ解析処理に起因する任意コード実行の脆弱性が存在します。
脆弱性と脅威
31views
1.概要 Ruby on Rails には、Action Pack のパラメータ解析処理に起因する任意コード実行の脆弱性が存在します。 リモートの第三者に利用されると、Ruby on Rails が設置された Web サーバ上で、任意の Ruby コードが実行される可能性があります。この脆弱性を悪用しようとした攻撃が国内で観測されたという情報もあることから、影響を受けるバージョンの Ruby on Rails を利用する環境では、可能な限り以下に記載する対策の実施を推奨します。
4.解説 Ruby on Rails はウェブアプリケーションフレームワークです。この Ruby on Rails において MVC(Model View Controller) の View および Controller の役割を担う、Action Pack のパラメータ解析処理に起因する脆弱性が存在します。
Ruby on Rails は、Action Pack のパラメータ解析により、文字列を特定のデータ型に自動的にキャストします。しかし、YAML 解析やシンボル生成を含むデータのキャスト処理に不備があるため、細工したリクエストを送信することで、Ruby on Rails が設置された Web サーバ上において任意の Ruby コードが実行される可能性があります。
