Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

redhat логотип

CVE-2011-3624

Опубликовано: 07 окт. 2011
Источник: redhat
CVSS2: 5

Уязвимость некорректной обработки заголовков "X-Forwarded-For", "X-Forwarded-Host" и "X-Forwarded-Server" в методах WEBrick::HTTPRequest в Ruby, позволяющая внедрять произвольный текст в лог-файлы

Описание

Обнаружена уязвимость в различных методах класса WEBrick::HTTPRequest в Ruby. Методы не проверяют заголовки запросов X-Forwarded-For, X-Forwarded-Host и X-Forwarded-Server. Это может позволить удалённым злоумышленникам внедрять произвольный текст в лог-файлы или обходить предполагаемый парсинг адресов через специально созданный заголовок.

Затронутые версии ПО

  • Ruby 1.9.2
  • Ruby 1.8.7 и более ранние версии

Тип уязвимости

  • Внедрение произвольного текста
  • Обход парсинга

Затронутые пакеты

ПлатформаПакетСостояниеРекомендацияРелиз
Red Hat Enterprise Linux 4rubyAffected
Red Hat Enterprise Linux 5rubyAffected
Red Hat Enterprise Linux 6rubyAffected

Показывать по

Дополнительная информация

Статус:

Low
https://bugzilla.redhat.com/show_bug.cgi?id=745636WEBrick:: HTTPRequest X-Forwarded-* allows arbitrary data

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.3
ubuntu
больше 6 лет назад

Various methods in WEBrick::HTTPRequest in Ruby 1.9.2 and 1.8.7 and earlier do not validate the X-Forwarded-For, X-Forwarded-Host and X-Forwarded-Server headers in requests, which might allow remote attackers to inject arbitrary text into log files or bypass intended address parsing via a crafted header.

CVSS3: 5.3
nvd
больше 6 лет назад

Various methods in WEBrick::HTTPRequest in Ruby 1.9.2 and 1.8.7 and earlier do not validate the X-Forwarded-For, X-Forwarded-Host and X-Forwarded-Server headers in requests, which might allow remote attackers to inject arbitrary text into log files or bypass intended address parsing via a crafted header.

CVSS3: 5.3
debian
больше 6 лет назад

Various methods in WEBrick::HTTPRequest in Ruby 1.9.2 and 1.8.7 and ea ...

CVSS3: 5.3
github
больше 4 лет назад

Various methods in WEBrick::HTTPRequest in Ruby 1.9.2 and 1.8.7 and earlier do not validate the X-Forwarded-For, X-Forwarded-Host and X-Forwarded-Server headers in requests, which might allow remote attackers to inject arbitrary text into log files or bypass intended address parsing via a crafted header.

5 Medium

CVSS2