Ruby on Rails riceve la terza patch di sicurezza in meno di un mese

Gli sviluppatori del framework di sviluppo Web di Ruby on Rails hanno rilasciato le versioni 3.0.20 e 2.3.16 del software lunedì per risolvere un problema vulnerabilità legata all'esecuzione di codice in modalità remota.

Questo è il terzo aggiornamento per la sicurezza rilasciato a gennaio per Ruby on Rails, un framework sempre più popolare per lo sviluppo di applicazioni Web utilizzando il linguaggio di programmazione Ruby utilizzato per creare siti Web come Hulu, GroupOn, GitHub, Scribd e altri.

Gli sviluppatori di Rails hanno descritto gli aggiornamenti rilasciati lunedì come "estremamente critici" in un post sul blog e hanno consigliato a tutti gli utenti delle filiali del software 3.0.xe 2.3.x Rails di aggiornarsi immediatamente.

[Ulteriori informazioni leggendo: Come rimuovere il malware dal PC Windows]

Secondo un corrispondente avviso di sicurezza, le nuove versioni di Rails risolvono una vulnerabilità nel codice Rails JSON (Notazione oggetto JavaScript) che consente agli aggressori di aggirare i sistemi di autenticazione, iniettare SQL arbitrario (Structured Query Language) nel database di un'applicazione, inserire ed eseguire codice arbitrario o eseguire un attacco denial-of-service (DoS) contro un'applicazione.

Gli sviluppatori di Rails hanno sottolineato che nonostante questo aggiornamento, Rails 3.0.x filiale non è più ufficialmente supportata. "Si noti che al momento sono supportate solo le serie 2.3.x, 3.1.xe 3.2.x", hanno affermato nell'advisory.

Gli utenti delle versioni di Rails non più supportati sono stati invitati a eseguire l'aggiornamento il prima possibile a una versione più recente e supportata, poiché non è possibile garantire la costante disponibilità di correzioni di sicurezza per versioni non supportate. Le vulnerabilità più recenti di 3.1.x e 3.2.x Rails non sono interessate da questa vulnerabilità.

Questa vulnerabilità di Rails più recente è identificata come CVE-2013-0333 ed è diversa da CVE-2013-0156, una vulnerabilità critica di SQL injection patchata in il framework il 8 gennaio. Gli sviluppatori di Rails hanno sottolineato che gli utenti di Rails 2.3 o 3.0 che hanno precedentemente installato la correzione per CVE-2013-0156 sono ancora necessari per installare la nuova correzione rilasciata questa settimana.