DoS Sicherheitslücke in CGI Bibliothek
Es wurde eine Sicherheitslücke in der CGI-Bibliothek (cgi.rb) gefunden welche direkt mit Ruby zusammen ausgeliefert wird. Diese kann von böswilligen Benutzern dazu verwendet werden, einen Denial of Services Angriff (DoS) durchzuführen. Das Problem wird dadurch hervorgerufen, dass eine HTTP Anfrage, welche eine Multipart MIME Kodierung verwendet, einen ungültigen Begrenzer enthält. Ein solcher ungültiger Begrenzer könnte so “-” statt so “--” aussehen. Das Verhalten führt dazu, dass sämtlicher zur Verfügung stehender Speicher belegt wird. Hierbei handelt es sich um eine typische DoS Vorraussetzung.
Ruby 1.8.5 und sämtliche vorherigen Versionen sind von dieser Sicherheitslücke betroffen. Die Schwachstelle wurde als CVE-2006-5467 veröffentlicht.
Geschrieben von Daniel Bovensiepen am 09.11.2006