Lỗ hổng DoS trong thư viện CGI (CVE-2006-5467)

Đăng bởi maki vào 3 Nov 2006

Một lỗ hổng đã được phát hiện trong thư viện CGI (cgi.rb) đi kèm với Ruby, có thể bị người dùng ác ý khai thác để tạo một cuộc tấn công từ chối dịch vụ (DoS). Vấn đề được kích hoạt bằng cách gửi đến thư viện một yêu cầu HTTP sử dụng mã hóa MIME multipart và có chỉ định ranh giới không hợp lệ bắt đầu bằng “-“ thay vì “–”. Khi bị kích hoạt, nó sẽ tiêu hao hết tất cả tài nguyên bộ nhớ khả dụng, tạo điều kiện DoS.

Ruby 1.8.5 và tất cả các phiên bản trước đó đều bị ảnh hưởng. Lỗ hổng này đã được công khai dưới mã CVE-2006-5467.

Các phiên bản bị ảnh hưởng

1.8 series

1.8.5 và tất cả các phiên bản trước đó

Phiên bản phát triển (1.9 series)

Tất cả các phiên bản trước 2006-09-23

Giải pháp

1.8 series

Vui lòng áp dụng bản vá sau khi cập nhật lên Ruby 1.8.5:

• Bản vá CGI DoS (367 byte; md5sum: 9d25f59d1c33a0b215f6c25260dcb536)

Xin lưu ý rằng gói sửa lỗi này có thể đã có sẵn qua phần mềm quản lý gói của bạn.

Phiên bản phát triển (1.9 series)

Vui lòng cập nhật Ruby lên phiên bản sau ngày 23 tháng 9 năm 2006.

Tham khảo

• [SEC] Mongrel Temporary Fix For cgi.rb 99% CPU DoS Attack