Weitere DoS-Schwachstelle in CGI-Bibliothek

Veröffentlicht von Shugo Maeda am 4. Dez 2006

Eine weitere Schwachstelle wurde in der CGI-Bibliothek (cgi.rb) entdeckt, die mit Ruby ausgeliefert wird und von einem böswilligen Benutzer für einen Denial-of-Service-Angriff (DoS) genutzt werden könnte.

Diese Schwachstelle ist öffentlich als JVN#84798830 bekannt.

Bitte beachten Sie, dass der vorherige Patch (<URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-cgi-dos-1.patch> dieses Problem nicht behebt.

Auswirkungen

Eine spezifische HTTP-Anfrage an eine beliebige Webanwendung, die cgi.rb verwendet, führt zu einer CPU-Auslastung auf der Maschine, auf der die Webanwendung läuft. Viele solcher Anfragen führen zu einem Denial of Service.

Betroffene Versionen

1.8 Serie

1.8.5 und alle Vorgängerversionen

Entwicklungsversion (Serie 1.9)

Alle Versionen vor dem 04.12.2006

Lösung

1.8 Serie

Bitte aktualisieren Sie auf 1.8.5-p2.

<URL:https://cache.ruby-lang.org/pub/ruby/1.8/ruby-1.8.5-p2.tar.gz> (4519151 Bytes, md5sum: a3517a224716f79b14196adda3e88057)

Bitte beachten Sie, dass ein Paket, das diese Schwäche behebt, möglicherweise bereits über Ihre Paketverwaltungssoftware verfügbar ist.

Entwicklungsversion (Serie 1.9)

Bitte aktualisieren Sie Ihr Ruby auf eine Version nach dem 04.12.2006.