PT-2021-23224 · Rubygems · Rails Multisite

Jomaxro · CVE-2021-41263 · Publicado 2021-11-15 · Atualizado 2022-08-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do rails multisite anteriores à 4

Descrição

A vulnerabilidade afeta aplicações Rails que utilizam o rails multisite em conjunto com os cookies assinados/criptografados do Rails. Dependendo de como a aplicação utiliza esses cookies, um invasor pode reutilizar cookies em diferentes “sites” dentro de uma aplicação Rails multisite.

Recomendações

Para versões anteriores à 4, atualize para a v4 da gem rails multisite. Observe que essa atualização invalidará todos os cookies assinados/criptografados anteriores, e o impacto dessa invalidação variará de acordo com a arquitetura da aplicação. Como solução temporária, considere restringir o acesso a cookies assinados/criptografados até que a atualização seja aplicada.

Exploit

Correção

Information Disclosure

Use of a Broken Cryptographic Algorithm

Enumeração de Fraquezas

CWE-565

CWE-200

CWE-327

Identificadores relacionados

CVE-2021-41263

GHSA-844M-CPR9-JCMH

Produtos afetados

Rails Multisite

Referências · 9

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/rails_multisite/CVE-2021-41263.yml · Exploit
• https://github.com/discourse/rails_multisite/commit/c6785cdb5c9277dd2c5ac8d55180dd1ece440ed0 · Correção
• https://github.com/discourse/rails_multisite/security/advisories/GHSA-844m-cpr9-jcmh · Nota
• https://github.com/discourse/rails_multisite · Nota
• https://t.me/cibsecurity/32474 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41263 · Nota de Segurança
• https://t.me/cvenotify/34436 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41263 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-844m-cpr9-jcmh · Aviso do Fabricante