JVNDB-2014-005314

Ruby on Rails に同梱されている Sprockets の server.rb におけるディレクトリトラバーサルの脆弱性

Ruby on Rails に同梱されている Sprockets の server.rb には、ディレクトリトラバーサルの脆弱性が存在します。

Ruby on Rails project

• Rails 3.x
• Rails 4.x

RubyGems.org

• Sprockets 2.0.5 未満
• Sprockets 2.1.4 未満の 2.1.x
• Sprockets 2.2.3 未満の 2.2.x
• Sprockets 2.3.3 未満の 2.3.x
• Sprockets 2.4.6 未満の 2.4.x
• Sprockets 2.5.1 未満の 2.5.x
• Sprockets 2.6.x
• Sprockets 2.7.1 未満の 2.7.x
• Sprockets 2.8.3 未満の 2.8.x
• Sprockets 2.9.4 未満の 2.9.x
• Sprockets 2.10.2 未満の 2.10.x
• Sprockets 2.11.3 未満の 2.11.x
• Sprockets 2.12.3 未満の 2.12.x
• Sprockets 3.0.0.beta.3 未満の 3.x

第三者により、(1) ダブルスラッシュまたは (2) URL エンコーディングを伴う ../ (ドットドットスラッシュ) シーケンスを介して、アプリケーションルート以外のファイルの存在を特定される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Ruby on Rails project

• Ruby on Rails project : Top Page

RubyGems.org

• Google Groups : Arbitrary file existence disclosure in Sprockets (CVE-2014-7819)
• Google Groups : [AMENDED] [CVE-2014-7819] Arbitrary file existence disclosure in Sprockets
• RubyGems.org : search for sprockets

1. パス・トラバーサル(CWE-22) [NVD評価]

1. CVE-2014-7819

1. National Vulnerability Database (NVD) : CVE-2014-7819

• [2014年11月11日]
    掲載