PT-2021-3937 · Ruby+1 · Addressable+1
Sporkmonger
·
Publicado
2021-07-03
·
Atualizado
2024-06-15
·
CVE-2021-32740
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do Addressable 2.3.0 a 2.7.0
Descrição
O problema está relacionado a uma vulnerabilidade de consumo descontrolado de recursos na biblioteca Addressable, que é uma implementação alternativa à implementação de URI na biblioteca padrão do Ruby. Essa vulnerabilidade pode ser explorada por um modelo criado de forma maliciosa, levando à negação de serviço quando comparado a um URI. Normalmente, os modelos não seriam lidos a partir de entradas de usuários não confiáveis, mas alertas de segurança anteriores não advertiram contra essa prática. Usuários dos recursos de análise do Addressable, mas não dos recursos de modelos URI, não são afetados.
Recomendações
Para as versões 2.3.0 a 2.7.0 do Addressable, atualize para a versão 2.8.0 para resolver o problema.
Como solução alternativa temporária, crie objetos Template apenas a partir de fontes confiáveis que tenham sido validadas para não produzir backtracking catastrófico.
Exploit
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Addressable