Thêm một lỗ hổng DoS trong thư viện CGI

Đăng bởi Shugo Maeda vào 4 Dec 2006

Thêm một lỗ hổng đã được phát hiện trong thư viện CGI (cgi.rb) đi kèm với Ruby, có thể bị người dùng ác ý khai thác để tạo một cuộc tấn công từ chối dịch vụ (DoS).

Lỗ hổng này đã được công khai dưới mã JVN#84798830.

Xin lưu ý rằng bản vá trước đó (<URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-cgi-dos-1.patch>) không sửa được vấn đề này.

Tác động

Một yêu cầu HTTP cụ thể đến bất kỳ ứng dụng web nào sử dụng cgi.rb gây ra tiêu hao CPU trên máy đang chạy ứng dụng web đó. Nhiều yêu cầu như vậy dẫn đến từ chối dịch vụ.

Các phiên bản bị ảnh hưởng

1.8 series

1.8.5 và tất cả các phiên bản trước đó

Phiên bản phát triển (1.9 series)

Tất cả các phiên bản trước 2006-12-04

Giải pháp

1.8 series

Vui lòng nâng cấp lên 1.8.5-p2.

<URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-p2.tar.gz> (4519151 byte, md5sum: a3517a224716f79b14196adda3e88057)

Xin lưu ý rằng gói sửa lỗi này có thể đã có sẵn qua phần mềm quản lý gói của bạn.

Phiên bản phát triển (1.9 series)

Vui lòng cập nhật Ruby lên phiên bản sau 2006-12-04.