FreeBSD：ruby -- ruby 1.9 の Hash-flooding DoS 脆弱性（5e647ca3-2aea-11e2-b745-001fd0af1a4c）

medium Nessus プラグイン ID 62886

Language:

概要

リモート FreeBSD ホストには、セキュリティ関連の更新がありません。

説明

ruby 公式サイトによる報告：

注意深く細工された文字列のシーケンスが、シーケンスを解析するサービスで DoS 攻撃（サービス拒否攻撃）を引き起こし、文字列をキーとして使用することで Hash オブジェクトを作成する可能性があります。例えば、この脆弱性は信頼できないエンティティから送信される JSON データを解析する Web アプリケーションに影響を与えます。

この脆弱性は ruby 1.8.7 の CVS-2011-4815 に類似しています。ruby 1.9 のバージョンは、修正されている MurmurHash 関数を使用していましたが、ハッシュ値を互いに衝突させる文字列のシーケンスを作成する方法があることが報告されています。この修正は、文字列オブジェクトのハッシュ関数を MurmurHash から　SipHash 2-4 に変更します。