KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2013-0277 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Ruby on Rails是一款Web应用程序框架，构建在Ruby语言之上。Ruby on Rails序列化属性处理代码存在漏洞。Active Record中的 serialize helper允许开发者把各种序列化对象存储到数据库中的BLOB栏中。对象使用YAML序列化和反序列化，如果开发者允许用户直接提供此属性值，攻击者可提交特制请求使应用程序反序列化任意YAML，可导致任意代码执行。
影响范围
应用：rubyonrails rails（版本 2.3.0）
应用：rubyonrails rails（版本 2.3.1）
应用：rubyonrails rails（版本 2.3.10）
应用：rubyonrails rails（版本 2.3.11）
应用：rubyonrails rails（版本 2.3.12）
应用：rubyonrails rails（版本 2.3.13）
应用：rubyonrails rails（版本 2.3.14）
应用：rubyonrails rails（版本 2.3.15）
……另有 30 项受影响环境，详见官方公告
解决方案
Ruby on Rails 3.1.5，3.1.4和3.1.2已经修复此漏洞，建议用户下载使用：http://rubyonrails.org/
参考信息
http://lists.apple.com/archives/security-announce/2013/Jun/msg00000.html
http://lists.opensuse.org/opensuse-updates/2013-03/msg00048.html
http://secunia.com/advisories/52112
http://securitytracker.com/id?1028109
http://support.apple.com/kb/HT5784
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。