Red Hat Fedora

ソフト名：Red Hat Fedora 14 (David Heinemeier Hansson Ruby on Rails 2.3.x/3.0x)

回避策：FEDORA-2011-11567, FEDORA-2011-11600にて対応

脆弱性：セキュリティ制限の回避, XSS, データ操作, HTTPレスポンス分割攻撃, SQLインジェクション, HTTPヘッダインジェクション, 不正HTMLの実行, スクリプトコード実行

ソース：

http://fedoraproject.org/

http://lists.fedoraproject.org/pipermail/package-announce/2011-September/065137.html

http://lists.fedoraproject.org/pipermail/package-announce/2011-September/065189.html

http://dvw-j.blogspot.com/2011/08/ruby-on-rails.html

http://secunia.com/advisories/45648/

http://secunia.com/advisories/45917/

http://secunia.com/advisories/45921/

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2931

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2932

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3186

CVE：CVE-2011-2931, CVE-2011-2932, CVE-2011-3186

危険性：Medium Risk

Debian GNU/Linux

ソフト名：Debian GNU/Linux 5.0/6.0 (Ruby on Rails 2.3.x/3.0x)

回避策：DSA-2301-1にて対応

脆弱性：XSS, データ操作, セキュリティ制限の回避, HTTPレスポンス分割攻撃, SQLインジェクション, HTTPヘッダインジェクション, 不正HTMLの実行, スクリプトコード実行

ソース：

http://www.debian.org/

http://www.debian.org/security/2011/dsa-2301

http://secunia.com/advisories/37446/

http://secunia.com/advisories/45648/

http://secunia.com/advisories/45839/

http://dvw-j.blogspot.com/2011/08/ruby-on-rails.html

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4214

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2930

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2931

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3186

CVE：CVE-2009-4214, CVE-2011-2930, CVE-2011-2931, CVE-2011-3186

危険性：Medium Risk

Ruby on Rails

ソフト名：Ruby on Rails 2.3.x/3.0x

回避策：2.3.14/3.0.10へのアップデートにて対応

脆弱性：セキュリティ制限の回避, XSS, データ操作, HTTPレスポンス分割攻撃, SQLインジェクション, HTTPヘッダインジェクション, 不正HTMLの実行, スクリプトコード実行

ソース：

http://rubyonrails.org/

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/6a1e473744bc389b

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/3420ac71aed312d6

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/6ffc93bde0298768

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/2b9130749b74ea12

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/56bffb5923ab1195

http://secunia.com/advisories/45648/

危険性：Medium Risk

Debian GNU/Linux

ソフト名：Debian GNU/Linux 5.0 (Ruby on Rails 2.x)

回避策：DSA-2260-1にて対応

脆弱性：XSS, CSRF, スクリプト挿入攻撃, キャッシュ汚染, 不正HTMLの実行, スクリプトコード実行

ソース：http://www.debian.org/

http://lists.debian.org/debian-security-announce/2011/msg00130.html

http://secunia.com/advisories/36600/

http://secunia.com/advisories/37446/

http://secunia.com/advisories/44796/

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3086

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-4214

CVE：CVE-2009-3086, CVE-2009-4214

危険性：Medium Risk

Ruby on Rails

ソフト名：Ruby on Rails 2.3.11/3.0.7

回避策：2.3.12/3.0.8へのアップデートにて対応

脆弱性：XSS, スクリプト挿入攻撃, 不正HTMLの実行, スクリプトコード実行

ソース：http://rubyonrails.org/

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/2e516e7acc96c4fb

http://secunia.com/advisories/44789/

危険性：Low Risk

Debian GNU/Linux

ソフト名：Debian GNU/Linux 5.0/6.0 (Ruby on Rails 2.3.11未満/3.0.4未満)

回避策：DSA-2247-1にて対応

脆弱性：XSS, CSRF, 不正HTMLの実行, スクリプトコード実行, 不正HTTPのリクエスト

ソース：http://www.debian.org/

http://www.debian.org/security/2011/dsa-2247

http://secunia.com/advisories/43274/

http://secunia.com/advisories/44773/

http://dvw-j.blogspot.com/2011/02/ruby-on-rails_11.html

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0446

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0447

CVE：CVE-2011-0446, CVE-2011-0447

危険性：Medium Risk

Ruby on Rails

ソフト名：Ruby on Rails 3.0.6未満の3.0.x

回避策：アップデートにて対応

脆弱性：XSS, スクリプトの挿入, 不正HTMLの実行, スクリプトコード実行

ソース：http://rubyonrails.org/

http://weblog.rubyonrails.org/2011/4/6/rails-3-0-6-has-been-released

http://groups.google.com/group/rubyonrails-security/browse_thread/thread/ea77a078b9fc4345

http://secunia.com/advisories/44026/

危険性：Medium Risk

Ruby on Rails

ソフト名：Ruby on Rails 2.3.11未満/3.0.4未満
回避策：アップデートにて対応
脆弱性：XSS, CSRF, 不正HTMLの実行, スクリプトコード実行, 不正HTTPのリクエスト
ソース：http://rubyonrails.org/
http://groups.google.com/group/rubyonrails-security/browse_thread/thread/f02a48ede8315f81
http://groups.google.com/group/rubyonrails-security/browse_thread/thread/2d95a3cc23e03665
http://weblog.rubyonrails.org/2011/2/8/csrf-protection-bypass-in-ruby-on-rails
http://secunia.com/advisories/43274/
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0446
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0447
CVE：CVE-2011-0446, CVE-2011-0447
危険性：Medium Risk

Ruby on Rails

ソフト名：Ruby on Rails 3.0.0～3.03
回避策：アップデートにて対応
脆弱性：セキュリティ制限の回避, データ操作, SQLインジェクション
ソース：http://rubyonrails.org/
http://groups.google.com/group/rubyonrails-security/browse_thread/thread/362f1fbc1761b336
http://groups.google.com/group/rubyonrails-security/browse_thread/thread/b658902cf6bf4eed
http://secunia.com/advisories/43278/
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0448
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0449
CVE：CVE-2011-0448, CVE-2011-0449
危険性：Medium Risk

David Heinemeier Hansson Ruby on Rails

ソフト名：David Heinemeier Hansson Ruby on Rails 2.3.9/3.0
回避策：アップデートにて対応
脆弱性：セキュリティ制限の回避, パラメータの修正
ソース：http://groups.google.com/group/rubyonrails-security/browse_thread/thread/f9f913d328dafe0c?pli=1
http://www.securityfocus.com/bid/44124
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3933
http://www.vupen.com/english/advisories/2010/2719
CVE：CVE-2010-3933
危険性：Medium Risk