製品・ソフトウェアに関する情報

JVN脆弱性詳細

Ruby on Rails の ActiveRecord における attr_protected 保護メカニズムを回避される脆弱性

タイトル	Ruby on Rails の ActiveRecord における attr_protected 保護メカニズムを回避される脆弱性
概要	Ruby on Rails の ActiveRecord には、attr_protected 保護メカニズムを回避される、および保護されたモデル属性が改ざんされる脆弱性が存在します。
想定される影響	第三者により、巧妙に細工されたリクエストを介して、attr_protected 保護メカニズムを回避される、および保護されたモデル属性が改ざんされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2013年2月11日0:00
登録日	2013年2月15日16:49
最終更新日	2013年6月7日12:07

CVSS2.0 : 警告
スコア	4.3
ベクター	AV:N/AC:M/Au:N/C:N/I:P/A:N

影響を受けるシステム

アップル

Apple Mac OS X 10.6.8

Apple Mac OS X Server 10.6.8

Ruby on Rails project

Rails 2.3.17 未満の 2.3.x

Rails 3.1.11 未満の 3.1.x

Rails 3.2.12 未満の 3.2.x

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2013-0276	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0276
National Vulnerability Database (NVD)
2	CVE-2013-0276	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0276

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	名前	URL
Apple Mailing Lists
1	APPLE-SA-2013-06-04-1	http://lists.apple.com/archives/security-announce/2013/Jun/msg00000.html
Apple Security Updates
2	HT5784	http://support.apple.com/kb/HT5784
Apple セキュリティアップデート
3	HT5784	http://support.apple.com/kb/HT5784?viewlocale=ja_JP
Debian Security Advisory
4	DSA-2620	http://www.debian.org/security/2013/dsa-2620
Google Groups
5	Circumvention of attr_protected [CVE-2013-0276]	https://groups.google.com/forum/?fromgroups=#!topic/rubyonrails-security/AFBKNY7VSH8
opensuse-updates
6	openSUSE-SU-2013:0462	http://lists.opensuse.org/opensuse-updates/2013-03/msg00048.html
Rails weblog
7	[SEC][ANN] Rails 3.2.12, 3.1.11, and 2.3.17 have been released!	http://weblog.rubyonrails.org/2013/2/11/SEC-ANN-Rails-3-2-12-3-1-11-and-2-3-17-have-been-released/
Red Hat Security Advisory
8	RHSA-2013:0686	http://rhn.redhat.com/errata/RHSA-2013-0686.html

その他

No	名前	URL
JVN
1	JVNVU#92046435	http://jvn.jp/cert/JVNVU92046435/index.html

変更履歴

No	変更内容	変更日
0	[2013年02月15日] 掲載 [2013年03月14日] ベンダ情報：Debian (DSA-2620) を追加 [2013年04月05日] ベンダ情報：レッドハット (RHSA-2013:0686) を追加 [2013年05月17日] ベンダ情報：openSUSE (openSUSE-SU-2013:0462) を追加 [2013年06月07日] 影響を受けるシステム：アップル (HT5784) の情報を追加ベンダ情報：アップル (HT5784) を追加ベンダ情報：アップル (APPLE-SA-2013-06-04-1) を追加	2018年2月17日10:37

NVD脆弱性情報

CVE-2013-0276

概要	ActiveRecord in Ruby on Rails before 2.3.17, 3.1.x before 3.1.11, and 3.2.x before 3.2.12 allows remote attackers to bypass the attr_protected protection mechanism and modify protected model attributes via a crafted request.
公表日	2013年2月13日10:55
登録日	2021年1月26日15:33
最終更新日	2024年11月21日10:47

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:rubyonrails:rails:3.2.0:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.2.0:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.2.0:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.7:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.8:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.9:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.1:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.5:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.6:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.10:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.11:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.2:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.2.2:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.3:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.2.3:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.3:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.2.4:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.4:rc1::::::

構成2	以上	以下	より上	未満
cpe:2.3:a:rubyonrails:rails:3.1.0:beta1::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc3::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc4::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc5::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc6::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc7::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.0:rc8::::::
cpe:2.3:a:rubyonrails:rails:3.1.1:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.1:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.1.1:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.1:rc3::::::
cpe:2.3:a:rubyonrails:rails:3.1.2:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.2:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.1.2:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.4:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.4:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.5:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.5:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.3:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.6:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.7:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.8:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.9:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.10:::::::*

構成3	以上	以下	より上	未満
cpe:2.3:a:rubyonrails:rails:2.3.0:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.1:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.2:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.3:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.4:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.9:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.10:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.11:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.12:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.13:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.14:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.15:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.16:::::::*

構成1	以上	以下	より上	未満
cpe:2.3:a:rubyonrails:rails:3.2.0:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.2.0:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.2.0:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.7:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.8:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.9:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.1:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.5:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.6:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.10:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.11:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.2:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.2.2:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.3:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.2.3:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.3:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.2.4:::::::*
cpe:2.3:a:rubyonrails:rails:3.2.4:rc1::::::

構成2	以上	以下	より上	未満
cpe:2.3:a:rubyonrails:rails:3.1.0:beta1::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc3::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc4::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc5::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc6::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:rc7::::::
cpe:2.3:a:rubyonrails:rails:3.1.0:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.0:rc8::::::
cpe:2.3:a:rubyonrails:rails:3.1.1:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.1:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.1.1:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.1:rc3::::::
cpe:2.3:a:rubyonrails:rails:3.1.2:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.2:rc2::::::
cpe:2.3:a:rubyonrails:rails:3.1.2:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.4:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.4:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.5:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.5:rc1::::::
cpe:2.3:a:rubyonrails:rails:3.1.3:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.6:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.7:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.8:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.9:::::::*
cpe:2.3:a:rubyonrails:rails:3.1.10:::::::*

構成3	以上	以下	より上	未満
cpe:2.3:a:rubyonrails:rails:2.3.0:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.1:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.2:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.3:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.4:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.9:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.10:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.11:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.12:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.13:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.14:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.15:::::::*
cpe:2.3:a:rubyonrails:rails:2.3.16:::::::*

No	URL	タグ
1	http://lists.apple.com/archives/security-announce/2013/Jun/msg00000.html
2	http://lists.apple.com/archives/security-announce/2013/Jun/msg00000.html
3	http://lists.opensuse.org/opensuse-updates/2013-03/msg00048.html
4	http://lists.opensuse.org/opensuse-updates/2013-03/msg00048.html
5	http://rhn.redhat.com/errata/RHSA-2013-0686.html
6	http://rhn.redhat.com/errata/RHSA-2013-0686.html
7	http://secunia.com/advisories/52112
8	http://secunia.com/advisories/52112
9	http://secunia.com/advisories/52774
10	http://secunia.com/advisories/52774
11	http://support.apple.com/kb/HT5784
12	http://support.apple.com/kb/HT5784
13	http://weblog.rubyonrails.org/2013/2/11/SEC-ANN-Rails-3-2-12-3-1-11-and-2-3-17-have-been-released/	Vendor Advisory
14	http://weblog.rubyonrails.org/2013/2/11/SEC-ANN-Rails-3-2-12-3-1-11-and-2-3-17-have-been-released/	Vendor Advisory
15	http://www.debian.org/security/2013/dsa-2620
16	http://www.debian.org/security/2013/dsa-2620
17	http://www.openwall.com/lists/oss-security/2013/02/11/5	Patch
18	http://www.openwall.com/lists/oss-security/2013/02/11/5	Patch
19	http://www.osvdb.org/90072
20	http://www.osvdb.org/90072
21	http://www.securityfocus.com/bid/57896
22	http://www.securityfocus.com/bid/57896
23	https://groups.google.com/group/rubyonrails-security/msg/bb44b98a73ef1a06?dmode=source&output=gplain
24	https://groups.google.com/group/rubyonrails-security/msg/bb44b98a73ef1a06?dmode=source&output=gplain