CVE-2014-8080 の上流パッチでは、REXML.entity_expansion_text_limit に対するチェックが導入されましたが、実行する拡張の数を限定する制限 (つまり、REXML: : Document.entity_expansion_limit に対するチェック) は追加されていません。その結果、このパッチが適用されていても、小さな XML ドキュメントによって REXML で過剰な量の CPU 時間が使われることがあります。より大きな入力を使用すると、高いメモリ使用率が達成されることがあります。

検出

Amazon Linux AMI：ruby20 (ALAS-2014-448)

medium Nessus プラグイン ID 79297

変更ログが見つかりません