DoS-Schwachstelle in CGI-Bibliothek (CVE-2006-5467)

Veröffentlicht von maki am 3. Nov 2006

Eine Schwachstelle wurde in der CGI-Bibliothek (cgi.rb) entdeckt, die mit Ruby ausgeliefert wird und von einem böswilligen Benutzer für einen Denial-of-Service-Angriff (DoS) genutzt werden könnte. Das Problem wird ausgelöst, indem der Bibliothek eine HTTP-Anfrage gesendet wird, die Multipart-MIME-Kodierung verwendet und einen ungültigen Boundary-Spezifizierer hat, der mit "-" anstelle von "--" beginnt. Sobald dies ausgelöst wird, werden alle verfügbaren Speicherressourcen erschöpft, was effektiv eine DoS-Bedingung schafft.

Ruby 1.8.5 und alle vorherigen Versionen sind anfällig. Diese Schwachstelle ist öffentlich bekannt als CVE-2006-5467.

Anfällige Versionen

1.8 Serie

1.8.5 und alle Vorgängerversionen

Entwicklungsversion (Serie 1.9)

Alle Versionen vor dem 23.09.2006

Lösung

1.8 Serie

Bitte wenden Sie den Patch an, nachdem Sie auf Ruby 1.8.5 aktualisiert haben.

• CGI DoS Patch (367 Bytes; md5sum: 9d25f59d1c33a0b215f6c25260dcb536)

Bitte beachten Sie, dass ein Paket, das diese Schwäche behebt, möglicherweise bereits über Ihre Paketverwaltungssoftware verfügbar ist.

Entwicklungsversion (Serie 1.9)

Bitte aktualisieren Sie Ihr Ruby auf eine Version nach dem 23. September 2006.

Referenzen

• [SEC] Mongrel Temporäre Korrektur für cgi.rb 99% CPU DoS-Angriff