CVE-2019-5418
Rails Ruby on Rails Path Traversal Vulnerability
Beschreibung
CVE-2019-5418 ist eine Path-Traversal-Schwachstelle in der Action View-Komponente von Ruby on Rails, die es einem unauthentifizierten Angreifer ermoeglicht, durch manipulierte Accept-Header den Inhalt beliebiger Dateien auf dem Server offenzulegen. Die Schwachstelle wird mit einem CVSS-Score von 7.5 (HIGH) bewertet und betrifft Action View in den Versionen vor 5.2.2.1, 5.1.6.2, 5.0.7.2, 4.2.11.1 sowie alle v3-Versionen.
Die CISA hat CVE-2019-5418 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2025-07-28. Der EPSS-Score von 94,34 % (100,0. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivitaet an und macht CVE-2019-5418 zu einer der am intensivsten ausgenutzten Schwachstellen ueberhaupt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| rubyonrails | rails | >= 3.0.0, < 4.2.11.1; >= 5.0.0, < 5.0.7.2; >= 5.1.0, < 5.1.6.2; >= 5.2.0, < 5.2.2.1 |
| debian | debian linux | 8.0 |
| redhat | cloudforms | 4.7; 4.6 |
| opensuse | leap | 15.0 |
| fedoraproject | fedora | 30 |
| redhat | software collections | 1.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2019-05/msg00011.html(Mailing List, Third Party Advisory)
- http://packetstormsecurity.com/files/152178/Rails-5.2.1-Arbitrary-File-Content-Disclosure.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2019/03/22/1(Mailing List, Mitigation, Patch, Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2019:0796(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2019:1147(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2019:1149(Third Party Advisory)
- https://access.redhat.com/errata/RHSA-2019:1289(Third Party Advisory)
- https://groups.google.com/forum/#%21topic/rubyonrails-security/pFRKI96Sm8Q(Permissions Required)
- https://lists.debian.org/debian-lts-announce/2019/03/msg00042.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Y43636TH4D6T46IC6N2RQVJTRFJAAYGA/(Third Party Advisory)
- https://weblog.rubyonrails.org/2019/3/13/Rails-4-2-5-1-5-1-6-2-have-been-released/(Broken Link, Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/46585/(Exploit, Third Party Advisory, VDB Entry)
- https://web.archive.org/web/20190313201629/https://weblog.rubyonrails.org/2019/3/13/Rails-4-2-5-1-5-1-6-2-have-been-released/(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-5418(US Government Resource)
Schwachstellentyp
CWE-22: Path Traversal
CVE-2019-5418 basiert auf CWE-22 (Unsachgemaesse Beschraenkung eines Pfadnamens auf ein eingeschraenktes Verzeichnis). In der Action View-Komponente von Ruby on Rails wird der Accept-Header von HTTP-Anfragen verwendet, um das Rendering-Template zu bestimmen. Durch die Einfuegung spezieller Pfadsequenzen in den Accept-Header kann ein Angreifer den Rendering-Mechanismus dazu bringen, beliebige Dateien des Dateisystems anstelle des vorgesehenen Templates zurueckzugeben.
Weitere Informationen: CWE-22 -- Path Traversal
Auswirkungsanalyse
Die Auswirkungen von CVE-2019-5418 sind aufgrund der weiten Verbreitung von Ruby on Rails besonders weitreichend. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt, dass die Schwachstelle remote ohne Authentifizierung und ohne Benutzerinteraktion mit niedriger Komplexitaet ausgenutzt werden kann. Vertraulichkeit (Hoch): Ein Angreifer kann den Inhalt beliebiger Dateien auf dem Dateisystem des Servers auslesen, darunter Konfigurationsdateien mit Datenbank-Zugangsdaten, API-Schluesseln, Umgebungsvariablen und anderem sensiblen Material. In Rails-Anwendungen sind besonders die Dateien config/database.yml, config/secrets.yml und .env gefaehrdet. Der ausserordentlich hohe EPSS-Score von 94,34 % (100,0. Perzentil) bestaetigt die massive Ausnutzung dieser Schwachstelle.
Exploit-Reifegrad
CVE-2019-5418 weist eine ausserordentlich hohe Exploit-Reife auf. Oeffentliche Exploit-Codes sind ueber mehrere Quellen verfuegbar, darunter Packet Storm Security und Exploit-DB. Die CISA hat die aktive Ausnutzung bestaetigt und CVE-2019-5418 mit einer Behebungsfrist bis zum 2025-07-28 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,34 % (100,0. Perzentil) zeigt nahezu sichere Ausnutzungsaktivitaet an. Die Schwachstelle ist trivial auszunutzen -- ein speziell formatierter Accept-Header genuegt, um beliebige Dateien vom Server zu lesen.
Behebung
-
Rails umgehend aktualisieren: Aktualisieren Sie auf die gepatchten Versionen: Rails 5.2.2.1, 5.1.6.2, 5.0.7.2 oder 4.2.11.1. Fuer Rails v3 ist ein Upgrade auf eine unterstuetzte Version dringend erforderlich, da kein Patch verfuegbar ist.
-
Accept-Header-Validierung implementieren: Als temporaere Massnahme koennen Sie in Ihrer Anwendung eine Middleware einrichten, die Accept-Header mit Pfadtrennzeichen (/, ..) ablehnt oder filtert.
-
Dateisystem-Berechtigungen einschraenken: Stellen Sie sicher, dass der Rails-Applikationsprozess mit minimalen Dateisystemberechtigungen laeuft. Konfigurieren Sie den Prozess so, dass er keinen Zugriff auf sensible Systemdateien hat.
-
Web Application Firewall konfigurieren: Implementieren Sie WAF-Regeln, die manipulierte Accept-Header mit Pfadtraversal-Mustern erkennen und blockieren.
-
Zugangsdaten rotieren: Wenn Ihre Rails-Anwendung oeffentlich erreichbar war und nicht gepatcht ist, gehen Sie davon aus, dass Konfigurationsdateien kompromittiert wurden. Rotieren Sie alle Datenbank-Passwoerter, API-Schluessel und Geheimnisse.
Technische Details
CVE-2019-5418 betrifft die Action View-Komponente von Ruby on Rails in den Versionen vor 5.2.2.1, 5.1.6.2, 5.0.7.2, 4.2.11.1 sowie alle v3-Versionen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt eine remote ausnutzbare Schwachstelle ohne Authentifizierungsanforderung. Die Schwachstelle liegt in der Art, wie Action View den Accept-Header verarbeitet, um das Rendering-Template zu bestimmen. Normalerweise wird anhand des Accept-Headers entschieden, welches Template-Format (HTML, JSON, XML) zurueckgegeben wird. Durch die Angabe eines speziell formatierten Accept-Headers, der Pfadtraversal-Sequenzen enthaelt (z.B. ../../../../etc/passwd{{), kann ein Angreifer den Template-Renderer dazu veranlassen, statt eines Templates den Inhalt einer beliebigen Datei auf dem Server zurueckzugeben. Die Schwachstelle erfordert keine besondere Konfiguration -- jede Standard-Rails-Anwendung, die Controller-Aktionen mit Template-Rendering bereitstellt, ist potentiell betroffen.
Häufig gestellte Fragen
Wird CVE-2019-5418 aktiv ausgenutzt?
Ja, die CISA hat CVE-2019-5418 in den KEV-Katalog aufgenommen und bestaetigt die aktive Ausnutzung. Der EPSS-Score von 94,34 % (100,0. Perzentil) gehoert zu den hoechsten ueberhaupt. Mehrere oeffentliche Exploit-Codes und Proof-of-Concepts sind verfuegbar.
Welche Produkte sind von CVE-2019-5418 betroffen?
Betroffen sind Ruby on Rails Action View in den Versionen 3.x bis 5.2.x. Konkret: Versionen vor 5.2.2.1, vor 5.1.6.2, vor 5.0.7.2, vor 4.2.11.1 und saemtliche v3-Versionen. Auch Produkte, die Rails einsetzen, wie Red Hat CloudForms (4.6, 4.7), Debian Linux 8.0, openSUSE Leap 15.0 und Fedora 30, sind betroffen.
Wie behebe ich CVE-2019-5418?
Aktualisieren Sie auf die gepatchten Rails-Versionen (5.2.2.1, 5.1.6.2, 5.0.7.2, 4.2.11.1). Nach dem Update sollten alle Zugangsdaten rotiert werden, da Konfigurationsdateien moeglicherweise bereits kompromittiert wurden. Fuer Rails v3 ist ein Upgrade auf eine unterstuetzte Version erforderlich.
Wie schwerwiegend ist CVE-2019-5418?
CVE-2019-5418 hat einen CVSS-Score von 7.5 (HIGH) und ermoeglicht das Auslesen beliebiger Dateien auf dem Server ohne Authentifizierung. Die Schwachstelle ist trivial auszunutzen und wird aktiv in freier Wildbahn ausgenutzt, was durch den extrem hohen EPSS-Score von 94,34 % bestaetigt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.