Trusted Design

CVE-2014-0130 の詳細

CVEの情報

説明:
Directory traversal vulnerability in actionpack/lib/abstract_controller/base.rb in the implicit-render implementation in Ruby on Rails before 3.2.18, 4.0.x before 4.0.5, and 4.1.x before 4.1.1, when certain route globbing configurations are enabled, allows remote attackers to read arbitrary files via a crafted request.

CVE更新日: 2014-05-07 10:55:04.133000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2022-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.537030000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2014-0130は、Ruby on Railsに存在するディレクトリトラバーサルの脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

Ruby on Railsのactionpack/lib/abstract_controller/base.rbにおけるimplicit-renderの実装に、ディレクトリトラバーサルの脆弱性が存在します。特定のルートグロビング設定が有効な場合、リモートの攻撃者が細工されたリクエストを送信することで、任意のファイルを読み取ることが可能になります。

1.1 影響

  • 機密性: 高い。攻撃者は予期しないファイルの内容を読み取り、機密データを漏洩させる可能性があります。これには、パスワードファイルなどを読み取って認証メカニズムを迂回する試みも含まれます。
  • 完全性: 部分的。攻撃者はコード実行に使用される重要なファイル（プログラムやライブラリなど）を作成または上書きできる可能性があります。また、重要なデータを上書き、削除、または破損させることで、製品の動作を妨げたり、認証などのセキュリティメカニズムを迂回したりする可能性があります。
  • 可用性: 明示的な言及はありませんが、完全性への影響により製品が動作しなくなる場合、可用性にも影響を及ぼす可能性があります。

1.2 深刻度

  • CVSS v2 基本評価値: 7.5 (重要)
    • CVSS v2 (AV:N/AC:L/Au:N/C:P/I:P/A:P)
  • CVSS v3 スコア: 7.5 (High)
    • CVSS v3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)
  • このCVEは、CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に登録されており、実際に悪用された実績があります。

2. 対象となる環境

Ruby on Railsの以下のバージョンが影響を受けます。 * Ruby on Rails 3.2.18より前のバージョン * Ruby on Rails 4.0.x系の4.0.5より前のバージョン * Ruby on Rails 4.1.x系の4.1.1より前のバージョン

2.1 影響を受けるOSバージョン

本脆弱性はRuby on Railsというアプリケーションフレームワークの脆弱性であり、特定のOSバージョンが直接的に影響を受けるわけではありません。脆弱性のあるRuby on Railsアプリケーションが稼働しているOS環境すべてが潜在的な影響を受けます。

2.2 影響を受ける設定

特定のルートグロビング設定が有効になっている場合に脆弱性が悪用される可能性があります。

3. 影響を受けた時の兆候

この脆弱性に関する具体的な「影響を受けた時の兆候」は、公開されている情報には明示的に記載されていません。しかし、一般的にディレクトリトラバーサル攻撃により任意のファイルが読み取られた場合、以下のような兆候が考えられます。 * 通常ではアクセスされないファイルのアクセスログの異常 * 予期しないデータの外部への漏洩 * ファイルアクセスに関連するエラーメッセージの発生

4. 推奨対策

4.1 本対策

ベンダーの指示に従い、速やかにアップデートを適用してください。 具体的には、以下のバージョン以降にアップグレードすることで脆弱性が修正されます。 * Ruby on Rails 3.2.18 以降 * Ruby on Rails 4.0.5 以降 * Ruby on Rails 4.1.1 以降 パッチでは、_valid_action_name?による検証が追加され、File::SEPARATORのチェックが行われるようになっています。

4.2 暫定回避策（緩和策）

明示的な暫定回避策は公開情報には記載されていません。しかし、この脆弱性が特定のルートグロビング設定が有効な場合に発生するため、該当する設定を見直すことが一時的な緩和策となりうる可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る