Squash YAML代码执行漏洞

Squash YAML代码执行漏洞

发布日期：2013-08-09
更新日期：2013-08-12

受影响系统：
Squash Squash
描述：
--------------------------------------------------------------------------------
CVE(CAN) ID: CVE-2013-5036

Squash是异常报告和bug分析工具。

Squash在/app/controllers/api/v1_controller.rb内的deobfuscation及sourcemap函数内存在漏洞，处理特制的YAML负载可触发此漏洞，导致执行任意代码。

<*来源：Charlie Eriksen
 
  链接：http://osvdb.org/show/osvdb/95992
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

Squash
------
目前厂商尚未发布了升级补丁以修复这个安全问题，请随时关注厂商的主页，但目前源代码库有补丁解决了该问题：

https://github.com/SquareSquash/web/commit/6d667c19e96e4f23dccbfbe24afeebd18e98e1c5