Trusted Design

解説:

CVE-2016-0752に関する調査結果を以下にまとめます。

1. 脆弱性の概要

1.1 影響 Ruby on RailsのAction Viewコンポーネントにおけるディレクトリトラバーサルの脆弱性です。攻撃者は、アプリケーションがrenderメソッドを制限なく使用している場合に、特別に細工されたリクエスト（例えば、../を含むパス名）を送信することで、システム上の任意のファイルを読み取ることが可能です。これにより、機密データが漏洩したり、セキュリティメカニズムが迂回される可能性があります。さらに、攻撃者が重要なファイルを上書きしたり、他の脆弱性と組み合わせたりできる場合、任意コード実行につながる可能性もあります。

1.2 深刻度 * CVSS v3.1基本スコア: 7.5 (High) * 攻撃経路: ネットワーク * 攻撃の複雑さ: 低 * 必要な権限: 不要 * ユーザーインタラクション: 不要 * 機密性への影響: 高 * 完全性への影響: なし * 可用性への影響: なし * CVSS v2スコア: 6.8 (Medium/Important) * CSH深刻度: Medium この脆弱性は、CISAの「既知の悪用された脆弱性カタログ (Known Exploited Vulnerabilities Catalog)」に掲載されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン * Ruby on Rails: * 3.2.22.1より前のバージョン * 4.0.x および 4.1.x の4.1.14.1より前のバージョン * 4.2.x の4.2.5.1より前のバージョン * 5.x の5.0.0.beta1.1より前のバージョン * 関連パッケージ: rubygem-activemodel, rubygem-actionview, rubygem-actionpack * 影響を受けるLinuxディストリビューション: Debian Linux, Fedora, SUSE Linux, Ubuntu

2.2 影響を受ける設定 信頼できない入力をrenderメソッドに渡しているアプリケーションが影響を受けます。

3. 影響を受けた時の兆候

明確な兆候については記載がありません。

4. 推奨対策

4.1 本対策 * Ruby on Railsを以下のバージョンに更新する: * 3.2.22.1 * 4.1.14.1 * 4.2.5.1 * 5.0.0.beta1.1 以降 * 特定のパッケージを更新する: * rubygem-activemodelを4.2.0-2.fc22に更新 * rubygem-actionviewを4.2.0-3.fc22または4.2.3-3.fc23に更新 * rubygem-actionpackも更新が必要

4.2 暫定回避策（緩和策） renderメソッドに信頼できない入力を直接渡すことを避け、渡す前にホワイトリストなどを用いて入力を検証する。

5. 他に解説すべき観点

• CWE-ID: CWE-22（不適切なパス名制限 - 'Path Traversal'）
• 悪用経路: リモートアクセス
• 悪用可能性: この脆弱性は実環境で悪用されており、公開されているエクスプロイトコード（Metasploitモジュールなど）も存在します。

参照したサイト

• Path traversal in Ruby on Rails - CVE-2016-0752 - Cybersecurity Help
• Known Exploited Vulnerabilities Catalog - CISA
• CVE-2016-0752: Improper Limitation of a Pathname to a Restricted Directory | Rapid7 Vulnerability Database
• CVE-2016-0752 - Red Hat Customer Portal
• Directory traversal vulnerability in Action View in Ruby on Rails · CVE-2016-0752 - GitHub
• CVE-2016-0752 - Ubuntu
• Endor Patches | CVE-2016-0752 - Endor Labs
• CVE-2016-0752 — פרטי פגיעות - TechRS