Red Hat Satellite 6
Red Hat Satellite 6: dal sandbox dei template si aggirano i controlli di rubygem-safemode
Il problema, secondo i dati ufficiali
- In rubygem-safemode le espressioni di assegnazione composta nel codice in sandbox vengono eseguite senza far passare le chiamate ai metodi dalla lista consentita (Jail). Così si possono invocare metodi senza argomenti su oggetti esposti al motore dei template.
- Possono essere eseguite anche operazioni distruttive, come la cancellazione di host, e si può leggere lo stato di oggetti che non sono nella lista consentita.
- Può sfruttarla un utente autenticato in grado di inserire contenuto nei template, anche con un account con pochi permessi. L'attacco avviene via rete.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Fonti ufficiali
- access.redhat.com — riferimento
- bugzilla.redhat.com — riferimento
Descrizione ufficiale (in inglese)
A flaw was found in rubygem-safemode. Compound assignment expressions in sandboxed code are evaluated without mediating method calls through the Jail allow-list. An authenticated attacker who can supply template content can invoke arbitrary no-argument methods on objects exposed to the template renderer without Jail mediation, including destructive operations such as host deletion and disclosure of non-allow-listed object state.
Non sai se ti riguarda?
Se usi Red Hat Satellite 6 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.