Ruby on RailsにSQLインジェクションの脆弱性、直ちに更新を
オープンソースのWebアプリケーション開発フレームワーク「Ruby on Rails」に2件のSQLインジェクションの脆弱性が見つかり、修正のための更新版が7月2日にリリースされた。 Ruby on Railsのサイトに掲載された情報によると、脆弱性はActive Record用のPostgreSQLアダプタに存在し、ビット列型、または範囲型を使っているアプリケーションが影響を受ける。 ビット列型の脆弱性はバージョン2.0.0～3.2.18に、範囲型の脆弱性はバージョン4.0.0～4.1.2にそれぞれ存在する。悪用された場合、細工を施した値を使って任意のSQLを挿入される恐れがある。 これら脆弱性は、更新版の3.2.19、4.0.7、4.1.3で修正された。直後にリグレッション問題に対応するための4.0.8と4.1.4がリリースされている。
Rails SQL Injection Examplesの紹介
6. 脆弱性のあるアプリケーション Copyright © 2010-2014 HASH Consulting Corp. 6 @books = Book.where( "publish = '#{params[:publish]}' AND price >= #{params[:price]}") 山田 祥寛 (著) Ruby on Rails 4 アプリケーションプログラミング 技術評論社 (2014/4/11) に脆弱性を加えましたw ※元本に脆弱性があるわけではありません 7. UNION SELECTにより個人情報を窃取 Copyright © 2010-2014 HASH Consulting Corp. 7 priceに以下を入れる 1) UNION SELECT id,userid,passwd,null,mail,null,false,created_at,updated
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
