CVE-2019-25025

Orta

Açıklama

Ruby on Rails için activerecord-session_store (diğer adıyla Active Record Session Store) bileşeninin 1.1.3 sürümüne kadar olan versiyonları, tahmin edilen bir oturum kimliğinin geçerli olup olmadığına dair bilgi sunarken sabit zamanlı (constant-time) bir yaklaşım kullanmamaktadır. Sonuç olarak, uzaktaki saldırganlar, nispeten kısa bir sürede doğru tahmine ulaşmak için zamanlama farklılıklarından yararlanabilirler. Bu durum, CVE-2019-16782 ile ilgili bir sorundur.

ÖnemOrta

CVSS5.3

İstismar olasılığı—

ÜrünRubyonrails Active Record Session Store

Yayın5 Mar 2021

İlk görülme5 Mar 2021

Nasıl düzeltilir

Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
rubyonrails active_record_session_store	v ≤ 1.1.3	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.