Platform
ruby
Component
activerecord
Opgelost in
3.0.4
CVE-2011-0448 beschrijft een SQL Injection kwetsbaarheid in de activerecord component van Ruby on Rails. Deze kwetsbaarheid maakt het mogelijk voor externe aanvallers om SQL-injectie uit te voeren door niet-numerieke waarden aan de limit functie door te geven. De kwetsbaarheid treft versies van Ruby on Rails tot en met 3.0.4.rc1. Een fix is beschikbaar in versie 3.0.4.
Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot de database, manipulatie van data en mogelijk volledige controle over de applicatie. De aanvaller kan gevoelige informatie zoals gebruikersnamen, wachtwoorden en andere persoonlijke gegevens stelen. Daarnaast kan de aanvaller de database gebruiken om kwaadaardige code uit te voeren op de server. Hoewel de kwetsbaarheid al lang geleden is ontdekt, is het belangrijk om te beseffen dat verouderde applicaties nog steeds kwetsbaar kunnen zijn en een aantrekkelijk doelwit vormen voor aanvallers. Dit soort SQL-injectie kwetsbaarheden kunnen vergelijkbare gevolgen hebben als recentere incidenten waarbij databases zijn gecompromitteerd.
CVE-2011-0448 werd publiekelijk bekendgemaakt in 2017. Er zijn publieke Proof-of-Concept (POC) exploits beschikbaar. De KEV status is momenteel onbekend. De kwetsbaarheid is significant vanwege de potentiële impact van SQL-injectie en het feit dat het een veelvoorkomende kwetsbaarheid is in webapplicaties.
Applications still running Ruby on Rails versions 3.0.x prior to 3.0.4 are at risk. This includes legacy applications, applications in development environments that haven't been updated, and potentially shared hosting environments where users have limited control over the application's version.
• ruby / server:
find /var/www/your_rails_app -name '*.rb' -print0 | xargs -0 grep -i 'limit\(' -n• generic web:
curl -I http://your-rails-app.com/some/endpoint?limit=a | grep 'Content-Type:'discovery
disclosure
Exploit Status
EPSS
0.69% (72% percentiel)
De primaire mitigatie is het upgraden van Ruby on Rails naar versie 3.0.4 of hoger. Indien een upgrade momenteel niet mogelijk is, overweeg dan het implementeren van inputvalidatie op de limit functie om te verzekeren dat alleen numerieke waarden worden geaccepteerd. Gebruik een Web Application Firewall (WAF) om SQL-injectie pogingen te detecteren en te blokkeren. Controleer de code op andere potentiële SQL-injectie kwetsbaarheden en implementeer beveiligingsmaatregelen om deze te voorkomen. Na de upgrade, verifieer de fix door een test te draaien waarbij je probeert een niet-numerieke waarde aan de limit functie door te geven en controleer of dit resulteert in een foutmelding in plaats van een SQL-injectie.
Geen officiële patch beschikbaar. Zoek naar tijdelijke oplossingen of monitor updates.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2011-0448 is a SQL Injection vulnerability affecting Ruby on Rails versions 3.0.x before 3.0.4. It allows attackers to inject malicious SQL code through the 'limit' function.
You are affected if you are using Ruby on Rails versions 3.0.x prior to 3.0.4. Check your application's version to determine if you are vulnerable.
Upgrade to Ruby on Rails version 3.0.4 or later to resolve this vulnerability. Input validation can be used as a temporary workaround.
While widespread active exploitation is not confirmed, the vulnerability's ease of exploitation makes it a potential target for attackers. Its age means many systems may still be vulnerable.
Refer to the Ruby on Rails security advisories and the NVD database for more information: https://nvd.nist.gov/vuln/detail/CVE-2011-0448
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je Gemfile.lock-bestand en we vertellen je direct of je getroffen bent.