CVE-2025-24294: Möglicher Denial of Service im resolv-Gem

Gepostet von mame am 8. Juli 2025

Im resolv Gem, das mit Ruby gebündelt ist, wurde eine Denial-of-Service-Schwachstelle entdeckt. Diese Schwachstelle wurde unter der CVE-Kennung CVE-2025-24294 registriert. Wir empfehlen ein Upgrade des resolv Gems.

Details

Die Schwachstelle wird durch eine unzureichende Prüfung der Länge eines dekomprimierten Domainnamens innerhalb eines DNS-Pakets verursacht.

Ein Angreifer kann ein bösartiges DNS-Paket erstellen, das einen stark komprimierten Domainnamen enthält. Wenn die resolv-Bibliothek ein solches Paket parst, verbraucht der Dekomprimierungsprozess des Namens eine große Menge an CPU-Ressourcen, da die Bibliothek die resultierende Namenslänge nicht begrenzt.

Dieser Ressourcenverbrauch kann dazu führen, dass der Anwendungs-Thread nicht mehr reagiert, was zu einem Denial-of-Service-Zustand führt.

Betroffene Versionen

Die Schwachstelle betrifft das mit den folgenden Ruby-Serien gebündelte resolv Gem

• Ruby 3.2 Serie: resolv Version 0.2.2 und früher
• Ruby 3.3 Serie: resolv Version 0.3.0
• Ruby 3.4 Serie: resolv Version 0.6.1 und früher

Credits

Vielen Dank an Manu für die Entdeckung dieses Problems.

Verlauf

• Ursprünglich veröffentlicht am 2025-07-08 07:00:00 (UTC)