JVNDB-2011-005202

Ruby におけるサービス運用妨害 (CPU 資源の消費) の脆弱性

Ruby は、ハッシュ衝突を想定した制限を適切に行わずにハッシュ値を算出するため、サービス運用妨害 (CPU 資源の消費) 状態となる脆弱性が存在します。

本脆弱性は、CVE-2011-4815 とは異なる脆弱性です。

Ruby-lang.org

• Ruby 2.0 revision 37575 より前の全ての ruby 2.0 系列 (2.0.0 preview1 を含む)
• Ruby 1.9.3 patchlevel 327 より前の全ての ruby 1.9 系列

攻撃者により、ハッシュテーブルを保持するアプリケーションに対する巧妙に細工された入力を介して、サービス運用妨害 (CPU 資源の消費) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Ruby-lang.org

• Ruby : Top Page
• Ruby : Ruby 1.9.3-p327 リリース
• Ruby : ChangeLog
• Ruby : ruby 1.9 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2012-5371)
• ruby-lang : Revision 37600

レッドハット

• Red Hat Bugzilla : Bug 875236

1. 暗号の問題(CWE-310) [NVD評価]

1. CVE-2012-5371

1. National Vulnerability Database (NVD) : CVE-2012-5371
2. 関連文書 : Hash-flooding DoS reloaded: attacks and defenses

• [2012年11月29日]
    掲載