forum.opennet.ru - "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." (42)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
Сообщение от opennews (??) on 09-Янв-13, 19:03
Спустя всего неделю после выявления (https://www.opennet.ru/opennews/art.shtml?num=35748) во фреймворке Ruby on Rails возможности подстановки SQL-кода, разработчиками проекта представлена (http://weblog.rubyonrails.org/2013/1/8/Rails-3-2-11-3-1-10-3.../) очередная порция обновлений Ruby on Rails 3.2.11, 3.1.10, 3.0.19 и 2.3.15 с устранением нескольких новых уязвимостей. Одна из проблем помечена как экстремально опасная, так как позволяет злоумышленнику выполнить свой код на сервере. Всем пользователям Ruby on Rails рекомендуется как можно скорее обновить свои системы и проанализировать по логам возможные факты эксплуатации уязвимостей. - CVE-2013-0156 (https://groups.google.com/group/rubyonrails-security/browse_...) - серия уязвимостей, которая позволяет атакующему выполнить свой код на сервере, обойти средства аутентификации, осуществить подстановку SQL кода. Уязвимости вызваны (http://www.insinuator.net/2013/01/rails-yaml/) рядом ошибок в коде разбора XML параметров в Action Pack. Код разбора параметров в Ruby on Rails позволяет приложениям автоматически приводить значения различных переменных из строкового типа в представление других типов данных. Некоторые из используемых при таких операциях преобразований неприменимы при попытке создания Symbols или при парсинге YAML, и могут быть использованы атакующим для компрометации Rails-приложений (по сути можно организовать выполнение Ruby-кода, заданного в XML блоках с параметром type="yaml"). Для атаки злоумышленнику достаточно отправить специальный POST-запрос к приложению, использующему Rails. В качестве обходного пути защиты рекомендует запретить разбор XML-параметров через установку опции "ActionDispatch::ParamsParser::DEFAULT_PARSERS.delete(Mime::XML)" для Rails 3.2, 3.1 и 3.0 или опции "ActionController::Base.param_parsers.delete(Mime::XML)" для Rails 2.3. Кроме того, можно отключить разбор поддержки YAML и Symbol в парсере XML; - CVE-2013-0155 (https://groups.google.com/group/rubyonrails-security/browse_...) - позволяет изменить содержимое некоторых SQL-запросов (можно изменить запрос для применения условия "IS NULL" или для игнорирования блока WHERE) при использовании в приложении парсинга параметров JSON средствами Active Record. Проблема проявляется только в Rails 3.x. URL: http://weblog.rubyonrails.org/2013/1/8/Rails-3-2-11-3-1-10-3.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=35792
Ответить \| Правка \| Cообщить модератору

Оглавление

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 19:12 , 09-Янв-13, (3)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., homakov, 19:23 , 09-Янв-13, (4)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 20:00 , 09-Янв-13, (6) –4

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Anonymous000, 20:31 , 09-Янв-13, (7) +8

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Michael Shigorin, 20:40 , 09-Янв-13, (9) +10

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., зачем имя анониму, 21:25 , 09-Янв-13, (11) +10

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., filosofem, 21:31 , 09-Янв-13, (13) +5
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 21:43 , 09-Янв-13, (16) +2

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Michael Shigorin, 22:06 , 09-Янв-13, (17)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., бедный буратино, 03:01 , 10-Янв-13, (29) +3

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Anonymous000, 04:52 , 10-Янв-13, (32)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., бедный буратино, 05:43 , 10-Янв-13, (36)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Еще анонимус, 08:09 , 10-Янв-13, (37) +4
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., гпм, 14:37 , 11-Янв-13, (52) +1
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 11:38 , 14-Янв-13, (56)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 22:47 , 09-Янв-13, (19) –2
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Anonymous000, 22:58 , 09-Янв-13, (21) +6

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Crazy Alex, 23:21 , 09-Янв-13, (23) +3

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Anonymous000, 00:26 , 10-Янв-13, (26) +4

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Например, 02:14 , 10-Янв-13, (27) –2

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Anonymous000, 04:57 , 10-Янв-13, (33) +3

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., бедный буратино, 03:06 , 10-Янв-13, (31) –2

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Anonymous000, 04:59 , 10-Янв-13, (34) –1

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Michael Shigorin, 20:40 , 09-Янв-13, (8) +3

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., deadless, 21:28 , 09-Янв-13, (12) –4

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., filosofem, 21:34 , 09-Янв-13, (14) +4
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Michael Shigorin, 21:38 , 09-Янв-13, (15)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., тигар, 23:08 , 09-Янв-13, (22) –2

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 20:45 , 09-Янв-13, (10)
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., pavlinux, 22:26 , 09-Янв-13, (18) +2

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Аноним, 22:50 , 09-Янв-13, (20) +3

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., pavlinux, 23:42 , 09-Янв-13, (24)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Led, 02:52 , 10-Янв-13, (28) +1
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., бедный буратино, 05:35 , 10-Янв-13, (35)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., pavlinux, 03:24 , 14-Янв-13, (53) +1

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., GentooBoy, 00:13 , 10-Янв-13, (25)
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., бедный буратино, 03:05 , 10-Янв-13, (30) –2
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Andrew Kolchoogin, 12:04 , 10-Янв-13, (44)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., бедный буратино, 12:25 , 10-Янв-13, (46)
В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., pavlinux, 03:35 , 14-Янв-13, (54)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., Andrey Mitrofanov, 10:50 , 14-Янв-13, (55)

В Ruby on Rails обнаружена критическая уязвимость, позволяющ..., pavlinux, 01:44 , 15-Янв-13, (57)

Сообщения по теме [Сортировка по времени | RSS]

3. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Аноним (??) on 09-Янв-13, 19:12

Уау !!! Эксплоит необычайно красив. Достаточно POST-ом отправить:
<?xml version="1.0" encoding="UTF-8"?>
<bang type="yaml">--- !ruby/object:Time {}
</bang>
и будет выполнен код object:Time

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от homakov on 09-Янв-13, 19:23

в паблике PoC еще не было, он очень интересный я думаю.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

6. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –4 +/–

Сообщение от Аноним (??) on 09-Янв-13, 20:00

Красота какая. Python, теперь Ruby.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +8 +/–

Сообщение от Anonymous000 on 09-Янв-13, 20:31

не руби, а рельсы

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

9. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +10 +/–

Сообщение от Michael Shigorin (ok) on 09-Янв-13, 20:40

> не руби, а рельсы
Да и не питон, а MoinMoin.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

11. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +10 +/–

Сообщение от зачем имя анониму on 09-Янв-13, 21:25

Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую очередь платформу, а не сами приложения.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

13. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +5 +/–

Сообщение от filosofem (ok) on 09-Янв-13, 21:31

> Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую
> очередь платформу, а не сами приложения.
Не все, а сугубо некоторые. Но от этих некоторых так воняет, что нормальные люди с адекватным мнением часто предпочитают не отмечаться здесь в темах относительно PHP, Wayland и Ubuntu, чтобы не забрызгало. И я их понимаю.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

16. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +2 +/–

Сообщение от Аноним (??) on 09-Янв-13, 21:43

> Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую
> очередь платформу, а не сами приложения.
Потому что эти уязвимости связаны с проблемами самой платформы PHP.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

17. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Michael Shigorin (ok) on 09-Янв-13, 22:06

>> Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую
>> очередь платформу, а не сами приложения.
> Потому что эти уязвимости связаны с проблемами самой платформы PHP.
Давайте всё-таки различать уязвимости приложений, фреймворков, платформы; как и их причины -- ошибки дизайна, промахи реализации, низкий общий культурный уровень.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

29. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +3 +/–

Сообщение от бедный буратино (ok) on 10-Янв-13, 03:01

> Давайте всё-таки различать уязвимости приложений, фреймворков, платформы; как и их причины -- ошибки дизайна, промахи реализации, низкий общий культурный уровень.
До недавних пор, пока все пальцами тыкать не начали, в php вообще не знали, что такое фреймворк.
И такие фичи, как "инклюд со всеми паролями, который можно найти с помощью спайдера, потому что лежит где-то рядом" или "внезапно (например, при переносе) не запустилось php, и в результате веб-сервер отдаёт полные исходники".
Кроме того, некоторые вещи, которые в развитых средствах делаются легко и приятно, в php приходится костылить и набалдашивать, поэтому и велика вероятность ошибок.
Ещё php не неглядный для веба. Конечно, некоторые фреймворки пытаются скрыть этот факт, но среднего php-шника на фреймворки не загонишь, потому что это чуждая культура - фича php это написать <? tralala; ?> здесь и сейчас, а не сначала делать схему, проектирование и уже по ней реализовывать. PHP-шник, который захочет делать всё по уму, быстро придёт к выводу, что по уму намного удобнее делать на том же python :) Это писать "где придётся, как придётся" удобнее на php. :)

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

32. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Anonymous000 on 10-Янв-13, 04:52

Архитектура приложения на порядок более важна, чем язык. Грамотно спроектированное приложение, основанное на нормальном фреймворке (а нормальный фреймворк, помимо прочего, сглаживает недостатки языка), переписывать с одного языка на другой - это, мягко выражаясь, не самое эффективное использование времени разработчиков.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

36. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от бедный буратино (ok) on 10-Янв-13, 05:43

> Архитектура приложения на порядок более важна, чем язык. Грамотно спроектированное приложение,
> основанное на нормальном фреймворке (а нормальный фреймворк, помимо прочего, сглаживает
> недостатки языка), переписывать с одного языка на другой - это, мягко
> выражаясь, не самое эффективное использование времени разработчиков.
То, что php-шники считают, что их язык самый простой в освоении и самый лучший для входа в разработку, не означает, что это так, и что на bottle они бы не смогли сделать то же самое, но намного проще. Потому что bottle намного проще в освоении - это раз, и что от тех ошибок (типа sql-инъекций), от которых php-шники будут избавляться только через 0.5-2 года опыта, тут они избавляются сразу, потому что сразу учатся писать правильно.

Есть у php ровно 1 преимущество: абстрактная домохозяйка, делающая сайт рецептов, при должной сноровке и опыте, сама сможет как-то распаковать архив на ftp и установить готовое php-приложение. К разработке это не относится никаким образом.
Но всё намного проще: вся эта обида, с которой php-шники радуются недостаткам другим, проистекает только от того, что php, кроме домохозяек, никто серьёзно не воспринимает, и их это бесит. Но даже если в ruby будет 2 млн. уязвимостей, php от этого лучше не станет. Почему-то даже перловики, которых 3.5 штуки, не комплексуют, что пишут на perl, а php-шники всё успокоиться не могут, ходят в темы по другим уязвимостям и радуются чужим, вместо того, чтобы заботиться о себе. Это - первый признак неадекватности, это вам любой психиатр подтвердит.

А от языка многое зависит - и культура, и вся связанная инфраструктура, и даже приобретаемые привычки. Например, python вызывает привычку ставить отступы :)

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

37. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +4 +/–

Сообщение от Еще анонимус on 10-Янв-13, 08:09

Всегда приятно и смешно читать мнение упоротых (в любой области, не только касательно РНР).
Новость о RoR. Казалось бы - обсуждаем Ruby. Но нет. Упоротые всегда скатятся к своему фетишу и будут его с удовольствием посасывать, забыв о сабже, окружающей реальности и прочих мелочах.
Продолжайте дальше, эту ветку довольно забавно читать.

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

52. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +1 +/–

Сообщение от гпм on 11-Янв-13, 14:37

А то Си такую привычку не вызывает :)

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

56. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Аноним (??) on 14-Янв-13, 11:38

> То, что php-шники считают, что их язык самый простой в освоении и
> самый лучший для входа в разработку, не означает, что это так,
Да, толпы питонистов и рубистов с батхертом пытаются оспорить этот титул.

Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

19. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –2 +/–

Сообщение от Аноним (??) on 09-Янв-13, 22:47

> Потому что эти уязвимости связаны с проблемами самой платформы PHP.
Ну тогда будет честно если дырка в moinmoin будет распостранена на весь питон, да? :)

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

21. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +6 +/–

Сообщение от Anonymous000 on 09-Янв-13, 22:58

Нет. Они связаны с 95% программистов на php. А так - вполне нормальный инструмент, если закрыть глаза на кривости стандартной библиотеки - детские болезни типа register_globals и magic_quotes давно исправлены. "Программисты на рельсах", сам ruby не знающие, и чуть чего, бегущие на форумы с вопросом "где взять gem для foo", ничем не лучше. В ровных руках и руби, и php, и питон хороши и пригодны.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

23. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +3 +/–

Сообщение от Crazy Alex (ok) on 09-Янв-13, 23:21

Стоит всё же добавить, что PHP не блещет внутренней логикой. Чего стоит только то, как прикручивали по отдельности возможность индексации то к непосредственному результату выполнения функции, то ещё к чему-то... Или можно вспомнить, что функции там регистронезависимы - а переменные регистрозависимы... В общем, там старых скелетов всё же многовато.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

26. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +4 +/–

Сообщение от Anonymous000 on 10-Янв-13, 00:26

В с++ скелетов не меньше, если задуматься. Что не мешает на нем писать.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

27. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –2 +/–

Сообщение от Например on 10-Янв-13, 02:14

те кто пишут на c++ имеют, все-таки, имеют более высоку квалификацию. иначе просто не скомпилируется или будет постоянно падать из-за неправильной работы с памятью, указателями и т.п.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

33. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +3 +/–

Сообщение от Anonymous000 on 10-Янв-13, 04:57

Ох... Моя первая работа (в 18 лет) заключалась как раз в программировании на С++. Оно, конечно, компилировалось и работало, и даже почти не падало, но если бы мне показали сейчас этот код, я бы умер от стыда. :-)

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

31. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –2 +/–

Сообщение от бедный буратино (ok) on 10-Янв-13, 03:06

> В с++ скелетов не меньше, если задуматься. Что не мешает на нем писать.
Если взломать приложение на c++, самое большее, что можно получить - это бесконечные жизни. :)

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

34. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –1 +/–

Сообщение от Anonymous000 on 10-Янв-13, 04:59

>> В с++ скелетов не меньше, если задуматься. Что не мешает на нем писать.
> Если взломать приложение на c++, самое большее, что можно получить - это
> бесконечные жизни. :)
Или выполнение произвольного кода. Но бесконечные жизни забавнее, не спорю :-)

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

8. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +3 +/–

Сообщение от Michael Shigorin (ok) on 09-Янв-13, 20:40

Соответственно из дистрибутива или gem install rails -v=2.3.15
PS: интересно, кому вообще такая "гениальная идея" пришла в голову при существовавшем на то время register_globals в PHP и широкой известности самых разнообразных проблем с ним... опять небось виндузятники с макинтоидами, не читавшие даже study in scarlet :-/

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –4 +/–

Сообщение от deadless (ok) on 09-Янв-13, 21:28

Микаэль, у тебя параноя :) кругом враги мерещаццо, в следующий раз чашку кофе прольешь, кляни на чем свет стоит тех виндузятнегов что кофе изобрели!

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

14. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +4 +/–

Сообщение от filosofem (ok) on 09-Янв-13, 21:34

> виндузятнегов что кофе
> изобрели!
Вообще-то сановцы.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Michael Shigorin (ok) on 09-Янв-13, 21:38

> Микаэль, у тебя параноя :)
Всего лишь читаю или поглядываю в ruby-talk@ без малого десять лет.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

22. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –2 +/–

Сообщение от тигар (ok) on 09-Янв-13, 23:08

>> Микаэль, у тебя параноя :)
> Всего лишь читаю или поглядываю в ruby-talk@ без малого десять лет.
правильно. не показывай мАлому это!:-)

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

10. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Аноним (??) on 09-Янв-13, 20:45

> unfortunately, the patches cause a serious regression, because every JSON incomming request containing nil values are now stripped.
> https://github.com/rails/rails/issues/8831
Вот такое вот обновление...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

18. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +2 +/–

Сообщение от pavlinux (ok) on 09-Янв-13, 22:26

Ха, пля, я для редмана эксплойт намутил. Вешайтесь духи!!! :)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

20. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +3 +/–

Сообщение от Аноним (??) on 09-Янв-13, 22:50

> Ха, пля, я для редмана эксплойт намутил. Вешайтесь духи!!! :)
Думаешь, за остальными заржаевеет? Хотя вот честно, обладателей редмайнов и мойнмойнов не жалко. Совсем. Они вывешивают окружающим такие кактусы. Пусть теперь сами выкусят.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

24. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от pavlinux (ok) on 09-Янв-13, 23:42

Да ладно, нормальная СРМка, для малого офиса. Тока ухаживать за ним надо.
Самая ж..па была той весной, когда  дистрибутивы массово на руби 2.0+ перешли,
а редмайновцы и плугино-писатели особо не торопились.
Было два выхода - ставить руби 1.8 или переделывать/доделывать редмайн с плугинами,
сейчас вроде всё устаканилось.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

28. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +1 +/–

Сообщение от Led (ok) on 10-Янв-13, 02:52

>Самая ж..па была той весной, когда  дистрибутивы массово на руби 2.0+ перешли
Верни машину времени на место. Или бросай бухать.

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

35. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от бедный буратино (ok) on 10-Янв-13, 05:35

> когда  дистрибутивы массово на руби 2.0+ перешли
назовите хотя бы два таких дистрибутива
arch: ruby 1.9.3
sid: 1.8.7 и 1.9.3
alt sisyphus: 1.9.3
mageia3: 1.9.3
frugalware-current: 1.9.2
slackware-current: 1.9.3

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

53. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +1 +/–

Сообщение от pavlinux (ok) on 14-Янв-13, 03:24

>> когда  дистрибутивы массово на руби 2.0+ перешли
> назовите хотя бы два таких дистрибутива
> arch: ruby 1.9.3
> sid: 1.8.7 и 1.9.3
> alt sisyphus: 1.9.3
> mageia3: 1.9.3
> frugalware-current: 1.9.2
> slackware-current: 1.9.3
Ну или 1.9, путаю я их :)

Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

25. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от GentooBoy (ok) on 10-Янв-13, 00:13

Как раз новый honeypot опробуем.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

30. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." –2 +/–

Сообщение от бедный буратино (ok) on 10-Янв-13, 03:05

Редмайн обычно старается все косяки rails исправлять, обычно их такие уязвимости не касались. Но я всё равно держу его в чруте, и регулярно обновляю из hg.
А ломание обычно начинают с github. Если github стоит, значит всё нормально. :)

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

44. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Andrew Kolchoogin on 10-Янв-13, 12:04

Павлин, а разве последний RedMine уже не требует жёстко 3.0.19?

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

46. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от бедный буратино (ok) on 10-Янв-13, 12:25

> Павлин, а разве последний RedMine уже не требует жёстко 3.0.19?
у меня в gemfile написано 3.2.11

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

54. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от pavlinux (ok) on 14-Янв-13, 03:35

>... требует жёстко 3.0.19?
Да говорю, там зоопарк
Стабильными считаются редмайны - 2.2.1, 2.1.6, 1.4.6
Все 2-ки работают на руби 1.8.4 и 1.9,
1.4.6 - только на 1.8
Мне, пля, повезло, я попал на версию редмайна 2.0, которая супер-пупер мутантская,
сначала работала на 1.8, но все апдейты к ниму тестят на 2.1, и плугины тоже.
.... ,бла-бла-бла....
В общем потихоньку переползаю на 2.1
И ваще, установку редмайна надо начинать с изучения работоспособности всех плугинов!!!
А то, я к примеру, из-за этих плугинописателей, весь ActionMailer перехерачил, теперь
сам боюсь трогать. :)

Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

55. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от Andrey Mitrofanov on 14-Янв-13, 10:50

>>... требует жёстко 3.0.19?
> Да говорю, там зоопарк
> Стабильными считаются
Есть такое впечатление, что ребята с рельсами _уверены, что и руби, и рельсы просто _необходимо ставить в домашнюю директорию, при каждом логине на машину обновлять с интернетов все gem-ы (у которых тоже принципиально не бывает стабильных версий/релизов). Это Путь К Успеху. Проверено гламурными ребятами с макбуками.
Это у тебя зоопарк: ты хочешь от них чего-то странного -- "стабильный", "продакшен", "сесьюрити-саппорт".
Одумайся!+:/
> сам боюсь трогать. :)

Ответить | Правка | ^ к родителю #54 | Наверх | Cообщить модератору

57. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..." +/–

Сообщение от pavlinux (ok) on 15-Янв-13, 01:44

> Одумайся!+:/
Я что ль придумал его впиндюрить?! Партия сказала - надо, комсомол ответил - есть!

Ответить | Правка | ^ к родителю #55 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

3. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
Сообщение от Аноним (??) on 09-Янв-13, 19:12
Уау !!! Эксплоит необычайно красив. Достаточно POST-ом отправить: <?xml version="1.0" encoding="UTF-8"?> <bang type="yaml">--- !ruby/object:Time {} </bang> и будет выполнен код object:Time
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	4. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
	Сообщение от homakov on 09-Янв-13, 19:23
	в паблике PoC еще не было, он очень интересный я думаю.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору

6. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–4 +/–
Сообщение от Аноним (??) on 09-Янв-13, 20:00
Красота какая. Python, теперь Ruby.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	7. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+8 +/–
	Сообщение от Anonymous000 on 09-Янв-13, 20:31
	не руби, а рельсы
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	9. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+10 +/–
	Сообщение от Michael Shigorin (ok) on 09-Янв-13, 20:40
	> не руби, а рельсы Да и не питон, а MoinMoin.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	11. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+10 +/–
	Сообщение от зачем имя анониму on 09-Янв-13, 21:25
	Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую очередь платформу, а не сами приложения.
	Ответить \| Правка \| ^ к родителю #9 \| Наверх \| Cообщить модератору


	13. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+5 +/–
	Сообщение от filosofem (ok) on 09-Янв-13, 21:31
	> Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую > очередь платформу, а не сами приложения. Не все, а сугубо некоторые. Но от этих некоторых так воняет, что нормальные люди с адекватным мнением часто предпочитают не отмечаться здесь в темах относительно PHP, Wayland и Ubuntu, чтобы не забрызгало. И я их понимаю.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	16. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+2 +/–
	Сообщение от Аноним (??) on 09-Янв-13, 21:43
	> Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую > очередь платформу, а не сами приложения. Потому что эти уязвимости связаны с проблемами самой платформы PHP.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	17. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
	Сообщение от Michael Shigorin (ok) on 09-Янв-13, 22:06
	>> Хм, когда находят уязвимости в PHP-приложениях, все почему-то поливают помоями в первую >> очередь платформу, а не сами приложения. > Потому что эти уязвимости связаны с проблемами самой платформы PHP. Давайте всё-таки различать уязвимости приложений, фреймворков, платформы; как и их причины -- ошибки дизайна, промахи реализации, низкий общий культурный уровень.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	29. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+3 +/–
	Сообщение от бедный буратино (ok) on 10-Янв-13, 03:01
	> Давайте всё-таки различать уязвимости приложений, фреймворков, платформы; как и их причины -- ошибки дизайна, промахи реализации, низкий общий культурный уровень. До недавних пор, пока все пальцами тыкать не начали, в php вообще не знали, что такое фреймворк. И такие фичи, как "инклюд со всеми паролями, который можно найти с помощью спайдера, потому что лежит где-то рядом" или "внезапно (например, при переносе) не запустилось php, и в результате веб-сервер отдаёт полные исходники". Кроме того, некоторые вещи, которые в развитых средствах делаются легко и приятно, в php приходится костылить и набалдашивать, поэтому и велика вероятность ошибок. Ещё php не неглядный для веба. Конечно, некоторые фреймворки пытаются скрыть этот факт, но среднего php-шника на фреймворки не загонишь, потому что это чуждая культура - фича php это написать <? tralala; ?> здесь и сейчас, а не сначала делать схему, проектирование и уже по ней реализовывать. PHP-шник, который захочет делать всё по уму, быстро придёт к выводу, что по уму намного удобнее делать на том же python :) Это писать "где придётся, как придётся" удобнее на php. :)
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	32. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
	Сообщение от Anonymous000 on 10-Янв-13, 04:52
	Архитектура приложения на порядок более важна, чем язык. Грамотно спроектированное приложение, основанное на нормальном фреймворке (а нормальный фреймворк, помимо прочего, сглаживает недостатки языка), переписывать с одного языка на другой - это, мягко выражаясь, не самое эффективное использование времени разработчиков.
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору


	36. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
	Сообщение от бедный буратино (ok) on 10-Янв-13, 05:43
	> Архитектура приложения на порядок более важна, чем язык. Грамотно спроектированное приложение, > основанное на нормальном фреймворке (а нормальный фреймворк, помимо прочего, сглаживает > недостатки языка), переписывать с одного языка на другой - это, мягко > выражаясь, не самое эффективное использование времени разработчиков. То, что php-шники считают, что их язык самый простой в освоении и самый лучший для входа в разработку, не означает, что это так, и что на bottle они бы не смогли сделать то же самое, но намного проще. Потому что bottle намного проще в освоении - это раз, и что от тех ошибок (типа sql-инъекций), от которых php-шники будут избавляться только через 0.5-2 года опыта, тут они избавляются сразу, потому что сразу учатся писать правильно. Есть у php ровно 1 преимущество: абстрактная домохозяйка, делающая сайт рецептов, при должной сноровке и опыте, сама сможет как-то распаковать архив на ftp и установить готовое php-приложение. К разработке это не относится никаким образом. Но всё намного проще: вся эта обида, с которой php-шники радуются недостаткам другим, проистекает только от того, что php, кроме домохозяек, никто серьёзно не воспринимает, и их это бесит. Но даже если в ruby будет 2 млн. уязвимостей, php от этого лучше не станет. Почему-то даже перловики, которых 3.5 штуки, не комплексуют, что пишут на perl, а php-шники всё успокоиться не могут, ходят в темы по другим уязвимостям и радуются чужим, вместо того, чтобы заботиться о себе. Это - первый признак неадекватности, это вам любой психиатр подтвердит. А от языка многое зависит - и культура, и вся связанная инфраструктура, и даже приобретаемые привычки. Например, python вызывает привычку ставить отступы :)
	Ответить \| Правка \| ^ к родителю #32 \| Наверх \| Cообщить модератору


	37. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+4 +/–
	Сообщение от Еще анонимус on 10-Янв-13, 08:09
	Всегда приятно и смешно читать мнение упоротых (в любой области, не только касательно РНР). Новость о RoR. Казалось бы - обсуждаем Ruby. Но нет. Упоротые всегда скатятся к своему фетишу и будут его с удовольствием посасывать, забыв о сабже, окружающей реальности и прочих мелочах. Продолжайте дальше, эту ветку довольно забавно читать.
	Ответить \| Правка \| ^ к родителю #36 \| Наверх \| Cообщить модератору


	52. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+1 +/–
	Сообщение от гпм on 11-Янв-13, 14:37
	А то Си такую привычку не вызывает :)
	Ответить \| Правка \| ^ к родителю #36 \| Наверх \| Cообщить модератору


	56. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
	Сообщение от Аноним (??) on 14-Янв-13, 11:38
	> То, что php-шники считают, что их язык самый простой в освоении и > самый лучший для входа в разработку, не означает, что это так, Да, толпы питонистов и рубистов с батхертом пытаются оспорить этот титул.
	Ответить \| Правка \| ^ к родителю #36 \| Наверх \| Cообщить модератору


	19. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–2 +/–
	Сообщение от Аноним (??) on 09-Янв-13, 22:47
	> Потому что эти уязвимости связаны с проблемами самой платформы PHP. Ну тогда будет честно если дырка в moinmoin будет распостранена на весь питон, да? :)
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	21. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+6 +/–
	Сообщение от Anonymous000 on 09-Янв-13, 22:58
	Нет. Они связаны с 95% программистов на php. А так - вполне нормальный инструмент, если закрыть глаза на кривости стандартной библиотеки - детские болезни типа register_globals и magic_quotes давно исправлены. "Программисты на рельсах", сам ruby не знающие, и чуть чего, бегущие на форумы с вопросом "где взять gem для foo", ничем не лучше. В ровных руках и руби, и php, и питон хороши и пригодны.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	23. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+3 +/–
	Сообщение от Crazy Alex (ok) on 09-Янв-13, 23:21
	Стоит всё же добавить, что PHP не блещет внутренней логикой. Чего стоит только то, как прикручивали по отдельности возможность индексации то к непосредственному результату выполнения функции, то ещё к чему-то... Или можно вспомнить, что функции там регистронезависимы - а переменные регистрозависимы... В общем, там старых скелетов всё же многовато.
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	26. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+4 +/–
	Сообщение от Anonymous000 on 10-Янв-13, 00:26
	В с++ скелетов не меньше, если задуматься. Что не мешает на нем писать.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	27. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–2 +/–
	Сообщение от Например on 10-Янв-13, 02:14
	те кто пишут на c++ имеют, все-таки, имеют более высоку квалификацию. иначе просто не скомпилируется или будет постоянно падать из-за неправильной работы с памятью, указателями и т.п.
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору


	33. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+3 +/–
	Сообщение от Anonymous000 on 10-Янв-13, 04:57
	Ох... Моя первая работа (в 18 лет) заключалась как раз в программировании на С++. Оно, конечно, компилировалось и работало, и даже почти не падало, но если бы мне показали сейчас этот код, я бы умер от стыда. :-)
	Ответить \| Правка \| ^ к родителю #27 \| Наверх \| Cообщить модератору


	31. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–2 +/–
	Сообщение от бедный буратино (ok) on 10-Янв-13, 03:06
	> В с++ скелетов не меньше, если задуматься. Что не мешает на нем писать. Если взломать приложение на c++, самое большее, что можно получить - это бесконечные жизни. :)
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору


	34. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–1 +/–
	Сообщение от Anonymous000 on 10-Янв-13, 04:59
	>> В с++ скелетов не меньше, если задуматься. Что не мешает на нем писать. > Если взломать приложение на c++, самое большее, что можно получить - это > бесконечные жизни. :) Или выполнение произвольного кода. Но бесконечные жизни забавнее, не спорю :-)
	Ответить \| Правка \| ^ к родителю #31 \| Наверх \| Cообщить модератору

8. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+3 +/–
Сообщение от Michael Shigorin (ok) on 09-Янв-13, 20:40
Соответственно из дистрибутива или gem install rails -v=2.3.15 PS: интересно, кому вообще такая "гениальная идея" пришла в голову при существовавшем на то время register_globals в PHP и широкой известности самых разнообразных проблем с ним... опять небось виндузятники с макинтоидами, не читавшие даже study in scarlet :-/
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	12. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–4 +/–
	Сообщение от deadless (ok) on 09-Янв-13, 21:28
	Микаэль, у тебя параноя :) кругом враги мерещаццо, в следующий раз чашку кофе прольешь, кляни на чем свет стоит тех виндузятнегов что кофе изобрели!
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	14. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+4 +/–
	Сообщение от filosofem (ok) on 09-Янв-13, 21:34
	> виндузятнегов что кофе > изобрели! Вообще-то сановцы.
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	15. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
	Сообщение от Michael Shigorin (ok) on 09-Янв-13, 21:38
	> Микаэль, у тебя параноя :) Всего лишь читаю или поглядываю в ruby-talk@ без малого десять лет.
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	22. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	–2 +/–
	Сообщение от тигар (ok) on 09-Янв-13, 23:08
	>> Микаэль, у тебя параноя :) > Всего лишь читаю или поглядываю в ruby-talk@ без малого десять лет. правильно. не показывай мАлому это!:-)
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору

10. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+/–
Сообщение от Аноним (??) on 09-Янв-13, 20:45
> unfortunately, the patches cause a serious regression, because every JSON incomming request containing nil values are now stripped. > https://github.com/rails/rails/issues/8831 Вот такое вот обновление...
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

18. "В Ruby on Rails обнаружена критическая уязвимость, позволяющ..."	+2 +/–
Сообщение от pavlinux (ok) on 09-Янв-13, 22:26
Ха, пля, я для редмана эксплойт намутил. Вешайтесь духи!!! :)
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору