[LCFC] wml://security/2013/dsa-2597.wml

[David Prévot <david@tilapin.org>]

Salut

Le 05/01/2013 03:40, JP Guillonneau a écrit :

> suggestions. 

Merci, et merci d'avance pour vos dernières remarques.

Amicalement

David

#use wml::debian::translation-check translation="1.1" maintainer="David Prévot"
<define-tag description>Erreur de validation d'entrée</define-tag>
<define-tag moreinfo>
<p>
joernchen de Phenoelit a découvert que Rails, un environnement de
développement web basé sur Ruby, ne traite pas correctement l'entrée
fournie par les utilisateurs aux méthodes <q>find_by_*</q>.

Suivant la façon dont l'application Ruby on Rails utilise ces méthodes,
cela permet à un attaquant de réaliser des attaques par injection
SQL, par exemple, pour contourner l'authentification si Authlogic
est utilisée et que le jeton secret de la session est connu.
</p>

<p>Pour la distribution stable (Squeeze), ce problème a été corrigé dans la version 2.3.5-1.2+squeeze4.</p>

<p>Pour la distribution testing (Wheezy), ce problème sera corrigé prochainement.</p>

<p>Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 2.3.14-3 de ruby-activerecord-2.3.</p>


<p>Nous vous recommandons de mettre à jour vos paquets rails/ruby-activerecord-2.3.</p>
</define-tag>

# do not modify the following line
#include "$(ENGLISHDIR)/security/2013/dsa-2597.data"
# $Id: dsa-2597.wml,v 1.2 2013-01-05 14:08:29 taffit Exp $

Attachment: signature.asc
Description: OpenPGP digital signature