ruby 1.9 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2012-5371)

Posted by usa on 9 Nov 2012 ruby 1.9 系列で使用しているハッシュ関数について、ハッシュ飽和攻撃によってサービスを停止させることができる脆弱性が報告されました。 この脆弱性は 1.8.7 に対して公表された CVE-2011-4815 とは異なるものです。 全ての ruby 1.9 ユーザーは、この問題に対するセキュリティフィックスが含まれた ruby-1.9.3 patchlevel 327 に更新することが推奨されます。 影響 綿密に構築された文字列の並びをサーバーに対して送信することにより、そのサーバーがこの文字列の並びを文字列をキーとした Hash オブジェクトの生成に利用する場合、サービス停止攻撃が成立します。 例えば、信頼できない送信元から送られた JSON データを解釈する Web アプリケーションなどがこの脆弱性の影響を受けます。 詳細 こ

[yoshi-ken]

@sonots 調べてみると最近ではMurmurHash関数からSipHash 2-4に変更になったようです。SipHashも良さそうですね。

[MinazukiBakera]

「ruby 1.9 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2012-5371)」

[moro]

Ruby 1.9.2はもう使えないっていう理解でいいんでしょうか? 影響はあるんですよね?

[h5y1m141]

”ruby 1.9 系列で使用しているハッシュ関数について、ハッシュ飽和攻撃によってサービスを停止させることができる脆弱性が報告されました” メモ

[Hash]

MurmurHash関数のハッシュ値を衝突させる方法が発見される

[chezou]

後で更新する

[at_yasu]

去年でたCVS-2011-4815とは別のようで。

[a2ikm]

おぉ

[ockeghem]

ruby 1.9は影響を受けないと言われていたが、攻撃方法が見つかった>『ruby 1.9 系列で使用しているハッシュ関数について、ハッシュ飽和攻撃によってサービスを停止させることができる』

[longroof]

！

[invent]

ruby 1.9 におけるハッシュ飽和攻撃による DoS 脆弱性 (CVE-2012-5371)

[mongrelP]

うへぇ