Vulnerabilidad en Ruby on Rails (CVE-2009-3086)
Gravedad CVSS v2.0:
MEDIA
Tipo:
CWE-200
Revelación de información
Fecha de publicación:
08/09/2009
Última modificación:
09/04/2025
Descripción
Un determinado algoritmo de Ruby on Rails v2.1.0 hasta v2.2.2 y v2.3.x antes de v2.3.4, filtra información de la complejidad de la verificación de firmas Hash en el almacen de cookies, lo que podría permitir crear una firma Hash a atacantes remotos a través de múltiples intentos.
Impacto
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:rubyonrails:rails:2.1.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.1.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.1.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.2.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.2.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.2.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.3.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:rubyonrails:rails:2.3.3:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://lists.opensuse.org/opensuse-security-announce/2009-10/msg00004.html
- http://secunia.com/advisories/36600
- http://weblog.rubyonrails.org/2009/9/4/timing-weakness-in-ruby-on-rails
- http://www.debian.org/security/2011/dsa-2260
- http://www.securityfocus.com/bid/37427
- http://www.vupen.com/english/advisories/2009/2544
- http://lists.opensuse.org/opensuse-security-announce/2009-10/msg00004.html
- http://secunia.com/advisories/36600
- http://weblog.rubyonrails.org/2009/9/4/timing-weakness-in-ruby-on-rails
- http://www.debian.org/security/2011/dsa-2260
- http://www.securityfocus.com/bid/37427
- http://www.vupen.com/english/advisories/2009/2544