CVE-2014-8090: XML 확장의 또다른 서비스 거부 공격(DoS)

작성자: usa (2014-11-13)
번역자: marocchino

“Entity expansion DoS vulnerability in REXML (XML bomb, CVE-2013-1821)”과 “CVE-2014-8080: XML 확장의 서비스 거부공격(DoS)”처럼, REXML에서 제한되지 않은 엔티티 확장이 DoS 취약점으로 이어질 수 있습니다. 이 취약점은 CVE ID CVE-2014-8090에 할당되었습니다. 루비를 업그레이드하시길 강력히 권합니다.

상세

이 수정은 CVE-2013-1821과 CVE-2014-8080을 위한 추가 수정입니다. 이전 패치가 여러 곳에서 반복적 확장과 생성된 문자열의 전체 크기를 제한했습니다. 그러나 엔티티 확장 이전에 사용 제한을 고려하지 않았습니다. 따라서 빈 문자열을 재귀적으로 확장시킴으로써 CPU 리소스를 100% 소비할 수 있는 상태로 만들 수 있습니다. 또한, XML 문서로부터 텍스트 노드를 판독할 때, REXML 파서는, 시스템에서의 모든 메모리를 소비할 수 있는 매우 큰 문자열 객체를 할당하는 서비스 거부 공격을 당할 수 있습니다.

이런 코드가 영향을 받습니다.

require 'rexml/document'

xml = <<XML
<!DOCTYPE root [
  # ENTITY expansion vector
]>
<cd></cd>
XML

p REXML::Document.new(xml)

영향받는 릴리스를 사용하시는 모든 분은 즉시 업그레이드하시거나 해결 방법 중 하나를 사용하셔야 합니다.

영향받는 버전

  • 루비 1.9.3 패치레벨 551 이전의 모든 루비 1.9 버전
  • 루비 2.0.0 패치레벨 598 이전의 모든 루비 2.0 버전
  • 루비 2.1.5 이전의 모든 루비 2.1 버전
  • 리비전 48402 이전의 트렁크

해결 방법

만약 루비를 업그레이드할 수 없다면 이 몽키패치를 사용하세요.

class REXML::Document
  def document
    self
  end
end

참여자

이 이슈를 보고해주신 Tomas Hoger 님께 감사드립니다.

수정 이력

  • 2014-11-13 12:00:00 UTC 최초 공개