Home Sign Up Sign In
est

警告 如果你的Ruby on Rails 网站还没有升级到3.2.10，那么服务器就危险了

  •   
  •   est · Jan 10, 2013 · 6976 views
    This topic created in 4887 days ago, the information mentioned may be changed or developed.
    https://community.rapid7.com/community/metasploit/blog/2013/01/09/serialization-mischief-in-ruby-land-cve-2013-0156?x=1

    简单的说，RoR的YAML/XML反序列化有个bug，客户端可以包含任意Ruby代码让服务器执行。。。

    傻瓜化入侵工具已经提交到了Metasploit。。。Rails老版本全部中招

    @huacnlee
  • Ruby
  • Rails
  • 服务器
    7 replies  •  1970-01-01 08:00:00 +08:00
    chloerei
        1
    chloerei  
       Jan 10, 2013
    3.2.11 已经出来了
    billychow
        2
    billychow  
       Jan 10, 2013
    谢谢提醒，看到这条消息，果断地把服务器上的一个 RoR 应用升级到最新版和 3.2.11 鸟。
    Livid
        3
    Livid  
    MOD
    PRO
       Jan 11, 2013
    一个新的 botnet 诞生了。
    naoki
        4
    naoki  
       Jan 11, 2013
    正在升级了
    cxh116
        5
    cxh116  
       Jan 11, 2013
    刚好可以用此漏洞抓些国外主机用来看国外资讯
    acen
        6
    acen  
       Jan 11, 2013
    @billychow 请问你升级后production.log文件每个请求间有空行么？我升级后没有了，好难看啊。
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Solana   ·   891 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 97ms · UTC 22:28 · PVG 06:28 · LAX 15:28 · JFK 18:28
    ♥ Do have faith in what you're doing.