Action Pack 对 YAML 和 XML 参数转换限制不足，远程攻击者可构造对象注入数据，造成代码执行或资源耗尽。
漏洞概览
- CVE 编号
- CVE-2013-0156
- 影响产品
- Ruby on Rails Action Pack
- 漏洞类型
- 远程代码执行与拒绝服务
- CWE 分类
- 所查记录未提供统一 CWE 分类
- CVE 公开日期
- 2013-01-13
- CVE 记录更新日期
- 2024-08-06
- 资料核验日期
- 2026-09-18
- 区域标签
- 全球（开源框架）
安全风险等级评估
所查 CVE 记录未提供统一数值评分。风险判断应结合漏洞机制、资产暴露和业务影响，不应凭空补充分数。
影响范围与修复版本
| 产品或分支 | 受影响范围 | 历史修复边界或说明 |
|---|---|---|
| Rails 2.3 | <2.3.15 | 2.3.15 |
| Rails 3.0 | <3.0.19 | 3.0.19 |
| Rails 3.1 | <3.1.10 | 3.1.10 |
| Rails 3.2 | <3.2.11 | 3.2.11 |
漏洞详情
漏洞机制
Rails 的 XML 参数转换没有充分限制字符串类型转换。Action Pack 的 YAML 或 Symbol 转换能力可能被用于对象注入并导致代码执行，嵌套 XML 实体还可能引起内存或 CPU 资源耗尽。
触发条件与权限边界
受影响代码涉及 active_support/core_ext/hash/conversions.rb。需要结合应用是否接收相应参数格式及框架解析路径确认暴露；仅在控制器里检查业务字段不等于修复框架解析阶段。
场景与影响
攻击面通常是公开的 Web 参数入口。若应用把请求参数直接交给不安全的反序列化路径，攻击者可能读取密钥、执行系统命令或造成内存与 CPU 消耗。
检测与排查
资产、配置与日志核查
核查 lockfile 和线上实际加载的 Rails/ActiveSupport 版本、XML 解析配置及异常请求日志；更新后重启应用进程并确认依赖已经切换。
防范措施与修复验证
修复与缓解
升级 Rails 到修复版本；禁止不必要的 XML/YAML 参数转换；对外部输入执行严格类型校验，并使用 WAF 与应用级审计。
修复后的验证
完成变更后，回读 Ruby on Rails Action Pack 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。
参考来源
英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。
暂无评论内容