ruby-list

前田です。

2008/08/23 17:03 Shugo Maeda <shugo@ruby-lang.org>:
> = REXMLのDoS脆弱性
>
> RailsでXMLリクエストのパースに使用されているREXMLに、DoS脆弱性が発見さ
> れました。XML entity explosion attackと呼ばれる攻撃手法により、ユーザか
> ら与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態
> にすることができます。大部分のRailsアプリケーションはこの攻撃に対して脆
> 弱です。

* Rails固有の問題との誤解を与える。
* アプリケーションでREXMLを明示的に使用していない場合にも問題があることが
  わかりにくい。

といったご指摘をいただき、文面を修正しました。

http://www.ruby-lang.org/ja/news/2008/08/23/dos-vulnerability-in-rexml/
----------------------------------------------------------------------------------------------
Rubyの標準ライブラリに含まれているREXMLに、DoS脆弱性が発見されました。 XML entity explosion
attackと呼ばれる攻撃手法により、ユーザから与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすることができます。

Railsはデフォルトの状態でユーザから与えられたXMLを解析するため、大部分の Railsアプリケーションはこの攻撃に対して脆弱です。
----------------------------------------------------------------------------------------------

この脆弱性の影響を受ける方は速やかに対策されることをお勧めします。

-- 
Shugo Maeda

Thread

Prev Next

In This Thread

Prev Next

[#45292] [ANN] Ruby-GetText-Package-1.92.0 — Masao Mutoh <mutoh@...>

[#45294] メソッドの可変長引数に配列の全要素を渡したい — "daisuke sugimori" <daixque@...>

[#45298] グローバルにdefしたメソッドのスコープ — "takeru sasaki" <sasaki.takeru@...>

[#45300] [ANN] 第7回 RHGの逆襲 — "Yugui (Yuki Sonoda)" <yugui@...>

[#45311] [ANN] rcodetools-0.8.0 - xmpfilter他、エディタ非依存開発支援ツール群 — rubikitch@...

[#45313] [ANN]8/20に三鷹でまつもとさんのセミナーを開催 — "榊祐介" <sakaki@...>

[#45315] Rails勉強会@東北第13回のお知らせ — 片平 裕市 <yuichi_katahira@...>

[#45316] Ruby 1.8.7-p71 / 1.8.6-p286 released (Security Fix) — Urabe Shyouhei <shyouhei@...>

[#45318] Windows コマンドプロンプトで UTF-8を出力するには — Yuumi Yoshida <yuumi3@...>

[#45324] tracer の出力が1.8,1.9では異なる。 — Kouya <kouyataifu4@...>

[#45334] def meth(*args, &block) の「*」「&」の呼び名は？ — take_tk <ggb03124@...>

[#45335] File.write が無いことに、何か理由はありますか？ — take_tk <ggb03124@...>

[#45342] Ruby 1.8.7-p72 / 1.8.6-p287 released (Security Fix) — Urabe Shyouhei <shyouhei@...>

[#45343] [ANN] HikiDoc 0.0.2リリース — kimura wataru <kimuraw@...>

[#45345] 「サポートレベル」の定義、1.9.1のサポート予定プラットフォーム、メンテナ募集 — "Yugui (Yuki Sonoda)" <yugui@...>

[#45346] RubyConf発表希望者への日本Rubyの会によるサポートについて — "masayoshi takahashi" <maki@...>

[#45349] WEBrick::CGI::Socket#eof? — "Hiroyuki Iwatsuki" <don@...>

[#45350] [ANN] Ruby勉強会＠札幌 第9回（運営：Ruby 札幌） — "SHIMADA Koji" <snoozer.05@...>

[#45352] [ANN] Ruby勉強会＠青森 第2回開催のお知らせ — "KIDO Sadayoshi" <kssddy@...>

[#45354] 【無料Railsセミナーご案内】サマフェス”３セミナー同時応募スタート — 【株式会社ウェブキャリア】伊藤 信一郎 <ito@...>

[#45355] [ANN] rcairo 1.7.0 — Kouhei Sutou <kou@...>

[#45356] nil.size — "ARAI Shunichi" <arai@...>

[#45360] Q:Array#eachの挙動に関して — 小西 弘将 <konishih@...6.so-net.ne.jp>

[#45363] [ANN]Growl Notifier 1.0.1 — "Satoshi Nakagawa" <psychs@...>

[#45365] cygwinでRabyが動作しない。 — Kura syuu <kurasyuu@...>

[#45377] [ANN] REXMLのDoS脆弱性 — Shugo Maeda <shugo@...>

[#45379] Design Patterns in Ruby — あひる <ahirusan@...>

[#45387] OpenSSL::CipherでのDESのやり方 — "Hideo Yamamoto" <deoohi@...>

[#45393] JRubyについて＆rubygemについて＆RDTについて — Akira Hayakawa <ruby@...>

[#45395] [ANN] Ruby 1.9.0-4リリース — "Yugui (Yuki Sonoda)" <yugui@...>

[#45405] [CFP] 札幌Ruby会議01のライトニングトークス募集 — "SHIMADA Koji" <snoozer.05@...>

[#45406] Ruby1.9のインストールに失敗しました — Akira Hayakawa <ruby@...>

[#45409] ActionMailerでうまくメールが送れない — "m.kobayashi.kdc" <m.kobayashi@...>

[#45413] This is test mail (テストメール) — "m.kobayashi.kdc" <m.kobayashi@...>

[#45414] This is TestMail (テストメール) — "masataka kobayashi" <hotopoppo1@...>

[#45422] 「Rubyリファレンスマニュアル刷新計画」2008-08分のスナップショットリリース — okkez <okkez000@...>

[#45426] [ANN] HikiDoc 0.0.3リリース — kimura wataru <kimuraw@...>

[#45427] Dir[] with **/ — Nobuhiro IMAI <nov@...>

[#45431] cloneの挙動について — Akira Hayakawa <ruby@...>

[#45438] assert_equalの挙動について — Akira Hayakawa <ruby@...>

[#45443] Ruby/Pcapをコンパイルできない — "Yangkook Kim" <yangkookkim@...>

[#45447] sudo: gem: command not found — Akira Hayakawa <ruby@...>

[#45449] やっぱりrubygemの仕組みがいまいち分かりません — Akira Hayakawa <ruby@...>

[#45462] zlibがload出来ません — Akira Hayakawa <ruby@...>

[#45464] Ruby 1.9における異なるエンコーディングの文字列の結合 — rubikitch@...

[ruby-list:45424] Re: [ANN] REXMLのDoS脆弱性

Thread

In This Thread

[#45315] Rails勉強会@東北第13回のお知らせ — 片平裕市 <yuichi_katahira@...>

[#45334] def meth(args, &block) の「」「&」の呼び名は？ — take_tk <ggb03124@...>

[#45350] [ANN] Ruby勉強会＠札幌第9回（運営：Ruby 札幌） — "SHIMADA Koji" <snoozer.05@...>

[#45352] [ANN] Ruby勉強会＠青森第2回開催のお知らせ — "KIDO Sadayoshi" <kssddy@...>

[#45354] 【無料Railsセミナーご案内】サマフェス”３セミナー同時応募スタート — 【株式会社ウェブキャリア】伊藤信一郎 <ito@...>

[#45360] Q:Array#eachの挙動に関して — 小西弘将 <konishih@...6.so-net.ne.jp>