In questi giorni sarebbero in corso ripetuti tentativi di exploit basati su una vulnerabilità conosciuta (venne registrata nell'identificatore CVE-2013-0156) e rilevata nel Web application framework Ruby on Rails; le intrusioni sarebbe finalizzate alla generazione di un Bot concepito per rimanere in attesa di istruzioni inviate attraverso un canale IRC.
La falla sfruttata per il confezionamento dell'exploit è stata individuata in diversi rami di sviluppo di RoR, per la precisione nelle release precedenti alle versioni 2.3.15, 3.0.19, 3.1.10 e 3.2.11; in pratica essa farebbe riferimento ad una gestione inadeguata del cast delle stringe e, se presente, rappresenterebbe un potenziale veicolo per attacchi da remoto basati sulla object-injection, per l'esecuzione di codice arbitrario o per lo scatenamento di Denial of Service.
La falla citata sarebbe stata corretta già da mesi ma cià non avrebbe comunque determinato la completa cessazione dei tentativi d'intrusione, questo perché molti ambienti di produzione presenterebbero ancora oggi installazioni datate del framework; un aggiornamento alle versioni più recenti rilasciate dal team di sviluppo (Ruby on Rails 3.2.13, 3.1.12 e 2.3.18) dovrebbe dimostrarsi in questo caso risolutivo.
Sostanzialmente l'attacco verrebbe effettuato attraverso l'injection di un crontab che prevede la pianificazione del download di un Bot tramite Wget; una volta scaricato il sorgente necessario scritto in C, questo verrebbe compilato per poi mandare in esecuzione il programma malvolo.
Quest'ultimo, identificato come processo "- bash" a singola istanza registrata in un apposito file generato a runtime, svolgerebbe in pratica il compito di accogliere istruzioni per esecuzioni arbitrarie.
Via: Jarmoc
