Falha no Ruby on Rails ficou sem correção por cinco anos

O governo holandês tirou do ar um serviço online que realizava a identificação dos cidadãos para lidar com uma brecha grave que foi corrigida no “Ruby on Rails↳Ruby3 conteúdosComo migrei meus testes automatizados de Java para Ruby… Será que fiz bem?Dev (Back & Front) · jun 2019Refatoração em RubyDev (Back & Front) · mai 20197 exemplos de linguagens de programação server-sideGestão Dev & TI · jun 2024Ver tudo em Dev (Back & Front) →”. O problema ficou desconhecido e aberto durante anos, e foi corrigido apenas na terça-feira desta semana. De acordo com os desenvolvedores, a vulnerabilidade está presente em “todas” as versões do Ruby on Rails, o que significa que a falha existe há pelo menos cinco anos, podendo ter existido já na primeira versão do software, lançada em 2005.

O Ruby on Rails é descrito como um “framework” web, um conjunto de ferramentas e códigos voltados para facilitar o desenvolvimento de sites. Devido à rapidez de desenvolvimento permitida pela tecnologia, muitos sites populares são desenvolvidos com ela.

A falha permite que um invasor envie dados especiais para uma página programada em Ruby on Rails para que ela interprete os dados como um documento YAML ou símbolo do Ruby, resultando em uma execução de código na página e levando à invasão do site.

Segundo estatísticas da “Builtwish”, há pelo menos 240 mil sites desenvolvidos com Ruby on Rails.

A orientação é que administradores de sistemas responsáveis por aplicações que fazem uso do Ruby on Rails é imediatamente instalem as atualizações disponibilizadas. As versões corrigidas são a 3.2.11, 3.1.10, 3.0.19, e a 2.3.15. Alguns desenvolvedores têm relatado problemas nas atualizações da versão 3, afirmando que elas causam erros nas funções de troca de dados via JSON.

Não há atualização para quem utiliza a primeira versão do Ruby on Rails. Nesse caso, a recomendação é realizar imediatamente uma atualização para uma versão mais nova.

Com informações de G1