CVE-2025-24294: Khả năng Từ chối Dịch vụ trong gem resolv

Đăng bởi mame vào 8 Jul 2025

Một lỗ hổng từ chối dịch vụ đã được phát hiện trong gem resolv đi kèm với Ruby. Lỗ hổng này đã được gán mã định danh CVE CVE-2025-24294. Chúng tôi khuyến nghị nâng cấp gem resolv.

Chi tiết

Lỗ hổng được gây ra bởi kiểm tra không đầy đủ về độ dài của tên miền đã giải nén trong gói DNS.

Kẻ tấn công có thể tạo một gói DNS độc hại chứa tên miền được nén cao. Khi thư viện resolv phân tích gói tin như vậy, quá trình giải nén tên tiêu tốn lượng lớn tài nguyên CPU, vì thư viện không giới hạn độ dài kết quả của tên.

Việc tiêu tốn tài nguyên này có thể khiến luồng ứng dụng không phản hồi, dẫn đến tình trạng Từ chối Dịch vụ.

Phiên bản bị ảnh hưởng

Lỗ hổng ảnh hưởng đến gem resolv đi kèm với các dòng Ruby sau:

• Dòng Ruby 3.2: resolv phiên bản 0.2.2 và trước đó
• Dòng Ruby 3.3: resolv phiên bản 0.3.0
• Dòng Ruby 3.4: resolv phiên bản 0.6.1 và trước đó

Ghi nhận

Cảm ơn Manu đã phát hiện vấn đề này.

Lịch sử

• Công bố lần đầu vào 2025-07-08 07:00:00 (UTC)