CVE-2024-49761: REXML 中的 ReDoS 漏洞

由 kou 发表于 2024-10-28
翻译： GAO Jun

在 REXML gem 中存在 ReDoS 漏洞。此漏洞的 CVE 编号为 CVE-2024-49761。我们强烈建议您更新 REXML gem.

此漏洞不影响 Ruby 3.2 及后续版本。Ruby 3.1 是唯一受影响的维护版本。请注意 Ruby 3.1 将在 2025-03 结束生命周期。

详情

触发场景：当解析 XML 时，如果在十六进制表达式 (&#x...;) 的 &# 和 x 中间存在大量数字时。

请更新 REXML gem 至 3.3.9 或更高版本。

受影响版本

• Ruby 3.1 且 REXML gem 是 3.3.8 或更低版本

致谢

感谢 manun 发现此问题。

历史

• 最初发布于 2024-10-28 03:00:00 (UTC)