CVE-2013-0333

उच्चप्रकाशित

प्रकाशित: 30 जन॰ 2013
अद्यतन: 6 अग॰ 2024
सीएनए असाइन करना: redhat
साक्ष्य देखे गए: 29 जन॰ 2013

प्राथमिक सीवीएसएस

7.5/ 10उच्च

nvd · CVSS 2.0

AV:N/AC:L/Au:N/C:P/I:P/A:P

ईपीएसएस संभाव्यता अनुमान

95.3%

उच्च · अगले 30 दिन

प्रतिशत: 99.9%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

lib/active_support/json/backends/yaml.rb, Ruby on Rails 2.3.x (2.3.16 से पहले) और 3.0.x (3.0.20 से पहले) में, JSON डेटा को YAML पार्सर द्वारा प्रसंस्करण के लिए YAML डेटा में सही ढंग से परिवर्तित नहीं करता है, जो दूरस्थ हमलावरों को असुरक्षित डिकोडिंग ट्रिगर करने वाले क्राफ्टेड डेटा के माध्यम से मनमाना कोड निष्पादित करने, SQL इंजेक्शन हमले करने, या प्रमाणीकरण को बायपास करने की अनुमति देता है, जो CVE-2013-0156 से भिन्न भेद्यता है।

स्रोत

Ruby on Rails - JSON Processor YAML Deserialization Code Execution (Metasploit)एक्सप्लॉइट
Metasploit · multiple · 29 जन॰ 2013

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।