Rail et Github : une faille de sécurité à connaître

[Damocorp]

Salut,

Voici l'article : http://www.zdnet.fr/blogs/developpeur-zo...769326.htm

J'ai des doutes que vous l'ayez raté, mais au cas ou c'est bon a savoir !

[Sephi-Chan]

Tu es dans la section Graphisme. iffle:


Cette faille de GitHub est issu d'une négligence de la part des développeurs, ce n'est pas une faille de Rails.

Dans les modèles ActiveRecord de Rails, tu peux créer un objet à partir d'un hash d'attributs.
Tout est défini dans cette page de l'API : ActiveModel::MassAssignmentSecurity::ClassMethods.

Avec un modèle tel que :

class User < ActiveRecord::Base

end

Tu peux écrire :

attributes = { name: 'Jon Snow', admin: true }

User.create(attributes)

Le problème, c'est que le tableau d'attribut peut venir d'un formulaire, et donc être corrompu.

Pour te protéger, il faut interdir l'injection de certains attributs sensibles par ce moyen. Comme ceci :

class User < ActiveRecord::Base

  attr_accessible :name

end

Ainsi, si on execute le même code que précédemment, une exception sera lancée : il est interdit d'injecter l'attribut admin. Les développeurs de GitHub avaient oublié ça.

Depuis, les développeurs de Rails ont interdit l'injection des attributs par défaut : il faut faire une liste blanche. C'est plus prudent et ça évitera ce genre d'accidents à l'avenir.


J'ignorais que tu t'intéressais à Rails.

[Ter Rowan]

en tout cas, le petit Igor s'est fait connaitre sans faire de mal

[Sephi-Chan]

Oui, il a posté sur le bug tracker de Rails. https://github.com/rails/rails/issues/5228
Puis plus bas dans le message, un mec le félicite d'être dans les médias (après la révélation de la faille).

C'est assez marrant à voir. ^^

[Plume]

Ce truc est vieux de plusieurs mois. C'est d'ailleurs pour ça que dorénavant, depuis une certaine version de Rails, la liste blanche est nulle et vous êtes obligés de définir vos accesseurs.

[Damocorp]

Tu es dans la section Graphisme.iffle:

Ma version Linux m'as causé quelques heures de galères ( c'est toujours cool quand on apprends iffle: ). Sauf qu'un mec sur irc m'as corrigé mon problème en 8 lettre et 1 commande. Et ce en moins de 10 sec de réflexion. Ca fou les boules -.-
De ce fait j'suis un peu à côté de mes pompes aujourd'hui. Ca m'as traumatisé.
Merci de l'avoir remis au bon endroit.

J'ignorais que tu t'intéressais à Rails.

Je compte pas faire que du php. C'est juste que j'ai pas le temps pour le moment de sortir de ma bulle Et lire c'est toujours un bon début !

Ce truc est vieux de plusieurs mois.

Je sais mais j'ai pris pour habitude de partager tout ce qui touche à la sécurité.
Les gens dans ma situation ne sont pas toujours au courant de ce genre de chose. J'ai donc pris pour habitude de partager. Ceci augmente la propagation pour ceux qui comme moi vive de temps à autre dans leur grotte.
Tout en me disant que le jour ou cela m'arrivera, je serai heurrer de tomber ( quoique ca fait mal ^^ ) sur un post répété d'un autre gars qui me fera courrir dans mon code corriger un trou de sécurité.

[Plume]

Ce que je voulais souligner, c'est l'obsolécence de cette information. Tu partages une information qui n'a aujourd'hui aucun fondement. Cette faille, indépendamment de qui en est responsable, n'existe plus depuis plusieurs mois.

[Ter Rowan]

Ce que je voulais souligner, c'est l'obsolécence de cette information. Tu partages une information qui n'a aujourd'hui aucun fondement. Cette faille, indépendamment de qui en est responsable, n'existe plus depuis plusieurs mois.

plop

est ce que ça veut dire que ceux qui avaient développé à l'époque de la faille ont vu corrigé leur système automatiquement ?


typiquement si c'était arrivé sur php, l'info m'aurait servi : je ne change pas de version php à chaque mise à jour.

---

et je tiens à préciser, je suis dans ma grotte comme dit damacorps, mes deux sources techniques principales sont jeuweb et google (mais google est plutôt passif pour m'avertir de trucs de ce genre :p )

[Sephi-Chan]

Ceux qui n'ont pas mis à jours leur version de Rails n'ont pas bénéficié automatiquement de la nouvelle valeur par défaut de ce mécanisme (qui est d'interdire toute injection, puis de les autoriser explicitement comme je l'ai montré plus haut).

Et l'équipe de Rails a montré comment obtenir ce comportement, même sur d'anciennes versions.

[Plume]

De toute façon, ceci serait la responsabilité du développeur de se tenir à jour. Sans compter que dès l'origine, ce n'est pas une faille.