DiWiSH-Mitglied MARE system warnt: Rails-Applikationen leaken sensible Daten

Egor Homakov hat bereits im Mai in einem Blogpost beschrieben, dass Rails-basierte Applikationen ein Leck haben können und Zugriff auf sensitive Daten wie Auth-Tokens oder Applikationsdaten durch unberechtigte Dritte besteht. Das Problem besteht in de Benutzung von RJS (Ruby JavaScript), wie die Blogposts unter [2] und [1] erklären. In einem weiteren Artikel [2] benennt Egor nun einige populäre Webseiten, die von dieser Lücke betroffen sind:

• Gitlab
• Basecamp
• Redmine
• Disapora
• Spree!

Im Zusammenhang mit der bereits im September gemeldeten Rails-Lücke [3] ist dieses Sicherheitsproblem äußerst ernst zu nehmen.

Der weitere Einsatz der RJS-Technik wird auf der Rails-Entwickler-Mailingliste diskutiert. [4]

1. Do not use RJS-like techniques / Egor Homakov
2. RJS leaking vulnerability in multiple Rails applications / Egor Homakov
3. Security Bulletin 13.17 :: Lebenslänglich: Rails speichert SessionCookies ohne Verfallsdatum
4. Remove :js responder / Diskussion auf der Rails-Dev-ML

Kontakt

MARE system
Web: www.mare-system.de