PT-2024-6382 · Rexml+11 · Rexml+11

Lowkou

·

Publicado

2024-08-22

·

Atualizado

2025-11-03

·

CVE-2024-43398

CVSS v4.0

8.2

Alta

VetorAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Nome do software vulnerável e versões afetadas
Versões do REXML anteriores à 3.3.6
Descrição
A gem REXML apresenta uma vulnerabilidade de tipo DoS (Denial of Service) ao analisar um XML que contenha muitos elementos aninhados com os mesmos atributos de nome local. Esse problema afeta usuários que precisam analisar XMLs não confiáveis com a API de análise de árvore, como REXML::Document.new. No entanto, usuários de outras APIs de analisador, como a API de analisador de fluxo e a API de analisador SAX2, não são afetados.
Recomendações
Para versões anteriores à 3.3.6, atualize para a gem REXML 3.3.6 ou posterior para corrigir a vulnerabilidade.
Como solução alternativa temporária, considere não analisar XMLs não confiáveis com a API de analisador de árvore até que um patch esteja disponível.

Exploit

Correção

DoS

XML Entity Expansion

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALSA-2024:6670
ALSA-2024:6784
ALSA-2024:6785
ALSA-2025:4063
ALSA-2025:4488
ALSA-2025_4488
AZL-48150
AZL-48154
AZL-48156
AZL-48162
BDU:2024-07430
CESA-2024_6670
CESA-2024_6784
CESA-2025_4063
CVE-2024-43398
DLA-4018-1
DLA-4018-2
ECHO-B3F2-B180-CAC9
GHSA-VMWR-MC7X-5VC3
INFSA-2024_6670
INFSA-2024_6784
INFSA-2024_6785
INFSA-2025_4063
INFSA-2025_4488
MGASA-2025-0001
OESA-2024-2114
OPENSUSE-SU-2025:0129-1
RHSA-2024:6670
RHSA-2024:6702
RHSA-2024:6703
RHSA-2024:6784
RHSA-2024:6785
RHSA-2024_6670
RHSA-2024_6784
RHSA-2024_6785
RHSA-2025:4063
RHSA-2025:4488
RHSA-2025_4063
RHSA-2025_4488
RLSA-2024:6670
RLSA-2024:6784
RLSA-2024:6785
SUSE-SU-2024:3874-1
USN-7256-1
USN-7256-2
USN-7418-1

Produtos afetados

Alt Linux
Almalinux
Centos
Debian
Linuxmint
Apple Macos
Rexml
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu