Posted by usa on 22 Feb 2013
REXML において、厳格でないエンティティ展開により、サービス不能攻撃が可能となる脆弱性が報告されました。 この脆弱性は CVE-2013-1821 として CVE に登録されています。 ユーザーの皆さんには ruby を更新することを強くお勧めします。
詳細
XML ドキュメントからテキストのノードを読み込む際、REXML のパーサに極めて巨大な String オブジェクトを生成させ、マシン上のメモリを使い果たさせてサービス不能攻撃を成立させることができます。
影響を受けるのは以下のようなコードです:
`text` メソッドが呼ばれる際、XML のエンティティが展開されます。 攻撃者の送信する XML ドキュメントが比較的小さなものであったとしても、そのエンティティが解決される際には対象システム上で非常に大量のメモリを消費させることができます。
この攻撃は「Billion Laughs」攻撃として知られているものに似ていますが、それとは別のものです。 また、この脆弱性は Python について報告されている CVE-2013-1664 とも関連しています。
影響を受けるバージョンの ruby を使用している全てのユーザーは、速やかに、ruby を更新するか、以下の回避策を適用して下さい。
回避策
もし ruby を更新できない場合、回避策として以下のモンキーパッチを適用して下さい:
このモンキーパッチは、エンティティ置換のサイズを 1 ノードあたり 10Kb に制限します。 REXML は元々デフォルトでは 1 ドキュメントにつき 10000 エンティティの置換しか許可していないので、この制限を追加することにより、エンティティ置換で生成されるテキストの最大サイズは 98 メガバイト前後までになります。
影響を受けるバージョン
- ruby 1.9.3 patchlevel 392 より前の全ての ruby 1.9 系列
- ruby 2.0.0 patchlevel 0 より前の全ての ruby 2.0 系列
- revision 39384 より前の開発版 (trunk)
クレジット
この脆弱性は Ben Murphy によって報告されました。
更新履歴
- 2013-03-11 16:45:00 (JST) CVE 番号について追記
- 2013-02-22 21:00:00 (JST) 初版