CVE-2024-37031

XSS (Cross-Site Scripting) dans activeadmin (CVE-2024-37031)

Résumé

XSS dans activeadmin (CVE-2024-37031). Risque d'opérations non autorisées ou de divulgation. Exploitable via name. Atténuation : mise à jour vers 4.0.0.beta7 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

Users settings their active admin form legends dynamically may be vulnerable to stored XSS, as long as its value can be injected directly by a malicious user.

For example:

A public web application allows users to create entities with arbitrary names.
Active Admin is used to administrate these entities through a private backend.
The form to edit these entities in the private backend has the following shape (note the dynamic name value dependent on an attribute of the resource):

  form do |f|
    f.inputs name: resource.name do
      f.input :name
      f.input :description
    end

    f.actions
  end

Then a malicious user could create an entity with a payload that would get executed in the active admin administrator's browser.

Both form blocks with an implicit or explicit name (i.e., both form resource.name or form name: resource.name would suffer from the problem), where the value of the name can be arbitrarily set by non admin users.

Patches

The problem has been fixed in ActiveAdmin 3.2.2 and ActiveAdmin 4.0.0.beta7.

Workarounds

Users can workaround this problem without upgrading by explicitly escaping the form name using an HTML escaping utility. For example:

  form do |f|
    f.inputs name: ERB::Util.html_escape(resource.name) do
      f.input :name
      f.input :description
    end

    f.actions
  end

Upgrading is of course recommended though.

References

https://owasp.org/www-community/attacks/x…

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2024-37031 a été découverte dans activeadmin.
Des attaquants peuvent cibler un point d'entrée spécifique comme name à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour activeadmin vers 4.0.0.beta7 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « activeadmin CVE-2024-37031 » sur le site de l'éditeur.

CVE-2024-37031 (activeadmin) — CWE-79
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : name / resource / form
Correctif : 4.0.0.beta7 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une XSS (CWE-79) affecte activeadmin. Les attaquants atteignent le code vulnérable via name sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de activeadmin. Surface d'attaque : name / resource / form.

🔥 Gravité

Gravité : ?. Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 4.0.0.beta7.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r 'activeadmin' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で activeadmin を grep し、稼働しているサービス・バージョンを把握する。
2
Apply patch patch
```
Upgrade activeadmin to 4.0.0.beta7
```
ステージング環境で 4.0.0.beta7 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
3
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

RubyGems activeadmin

[{"type":"ECOSYSTEM","events":[{"introduced":"4.0.0.beta1"},{"fixed":"4.0.0.beta7"}]}]

Références

Métadonnées

CVE: CVE-2024-37031
GHSA: GHSA-9mg6-x45v-hcfm
Publication: 2024-06-02
Première détection SecPulse: il y a 2 ans
Source initiale: OSV.dev (Open Source Vulnerabilities)

CWE

CWE-79

Sources de détection

OSV.dev (Open Source Vulnerabilities) il y a 3 mois