oCERT reports :

A variety of programming languages suffer from a denial-of-service (DoS) condition against storage functions of key/value pairs in hash data structures, the condition can be leveraged by exploiting predictable collisions in the underlying hashing algorithms.

The issue finds particular exposure in web server applications and/or frameworks. In particular, the lack of sufficient limits for the number of parameters in POST requests in conjunction with the predictable collision properties in the hashing functions of the underlying languages can render web applications vulnerable to the DoS condition. The attacker, using specially crafted HTTP requests, can lead to a 100% of CPU usage which can last up to several hours depending on the targeted application and server performance, the amplification effect is considerable and requires little bandwidth and time on the attacker side.

The condition for predictable collisions in the hashing functions has been reported for the following language implementations : Java, JRuby, PHP, Python, Rubinius, Ruby. In the case of the Ruby language, the 1.9.x branch is not affected by the predictable collision condition since this version includes a randomization of the hashing function.

The vulnerability outlined in this advisory is practically identical to the one reported in 2003 and described in the paper Denial of Service via Algorithmic Complexity Attacks which affected the Perl language.

The remote host is affected by the vulnerability described in GLSA-201207-06 (JRuby: Denial of Service)

    JRuby does not properly randomize hash functions to protect against hash       collision attacks.
  Impact :

    A remote attacker could send a specially crafted input, possibly       resulting in a Denial of Service condition.
  Workaround :

    There is no known workaround at this time.

JRuby before 1.6.5.1 computes hash values without restricting the ability to trigger hash collisions predictably, which allows context-dependent attackers to cause a denial of service (CPU consumption) via crafted input to an application that maintains a hash table. Note: This update includes corrections to the original fix for later Debian releases to avoid the issues identified in CVE-2012-5370.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートホストは、GLSA-201207-06 で説明されている脆弱性の影響を受けます（JRuby：サービス拒否）

JRuby は、ハッシュ衝突攻撃から保護するよう、ハッシュ関数を適切にランダム化しません。
 影響：

リモートの攻撃者が、特別に細工された入力を送信し、サービス拒否状態を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

oCERT による報告：

さまざまなプログラミング言語は、ハッシュデータ構造におけるキー/値のペアのストレージ機能に対するサービス拒否（DoS）状態の影響を受けます。この状況は、下層のハッシュアルゴリズムにおける予測可能な衝突を悪用することで利用される可能性があります。

この問題は、Web サーバーアプリケーションおよび/またはフレームワークにおいて特に危険にさらされることが判明しています。特に、下層の言語のハッシュ関数における予測可能な衝突プロパティとともに、POST リクエストにおけるパラメータ数に対する十分な制限が欠けていることで、Web アプリケーションが DoS 状態に脆弱になります。特別に細工された HTTP リクエストを使用する攻撃者が、100% の CPU 使用率を発生させることができます。これは、ターゲットのアプリケーションやサーバーのパフォーマンスにもよりますが、数時間にわたり継続させることが可能です。この増幅効果は考慮すべき問題です。また、攻撃者側での帯域幅や時間をほとんど必要としません。

ハッシュ関数の予測可能な競合状態は、Java、JRuby、PHP、Python、Rubinius、Ruby の言語実装に対して報告されています。Ruby 言語の場合、1.9.x ブランチは、予測可能な衝突状態に影響を受けません。これは、このバージョンにはハッシュ関数のランダム化が含まれているためです。

このアドバイザリで概説されている脆弱性は、2003 年で報告されているものや、Perl 言語に影響を与えていた Algorithmic Complexity Attacks によるサービス拒否の文書で説明されているものと同等です。

- 1.6.5.1 以前の JRuby により、ハッシュ衝突を予想どおりに発生する機能を制限せずに、ハッシュ値が計算されます。これにより、コンテキスト依存の攻撃者は、ハッシュテーブルを維持しているアプリケーションへの細工された入力を介して、サービス拒否（CPU 消費）を引き起こせます。注：CVE-2012-5370 で特定される問題を避けるために、この更新には、後の Debian リリースに対する当初の修正への訂正が、含まれています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

oCERT 報告：

多種程式設計語言受到雜湊資料結構中的金鑰/值配對之儲存函式的拒絕服務 (DoS) 情形影響，可藉由惡意利用基礎雜湊演算法中的可預測衝突利用此情形。

此版在 Web 伺服器應用程式和/或架構中發現特定漏洞。尤其是，未充分限制 POST 要求中的參數數量及基礎語言之雜湊函式中的可預測衝突內容，可使 Web 應用程式容易遭受 DoS 情形影響。使用特製之 HTTP 要求的攻擊者可導致 100% CPU 使用率，視目標應用程式和伺服器效能而定，此情形可持續數小時，放大效果非常顯著，且攻擊者端需要一點頻寬和時間。

已針對下列語言實作報告雜湊函式中的可預測衝突情形：Java、JRuby、PHP、Python、Rubinius、Ruby。就 Ruby 語言而言，由於 1.9.x 分支包含雜湊函式隨機化，因此，此版本未受到可預測衝突情形影響。

此公告中所概述的弱點幾乎與 2003 年所報告和《透過演算法複雜攻擊造成的拒絕服務》報告中所述的弱點相同，此弱點會影響 Perl 語言。

oCERT 报告：

多种编程语言都受到一个拒绝服务 (DoS) 情况的影响，该情况针对哈希数据结构中的键/值对存储函数，通过利用底层哈希算法中可预测的冲突，可利用该拒绝服务情况。

该问题寻找 Web 服务器应用程序和/或框架中的特定漏洞。特别是，对 POST 请求中的参数数量缺乏足够限制，加上底层语言的哈希函数中可预测的冲突属性，可导致 Web 应用程序容易受到 DoS 情况的影响。攻击者可使用特别构建的 HTTP 请求，从而导致 CPU 使用率达到 100%，根据针对的应用程序和服务器的性能，这种情况可持续数小时之久，放大效应十分显著，而在攻击者一侧所需的带宽和时间非常少。

据报告，以下语言实现中存在哈希函数中有可预测冲突的情况：Java、JRuby、PHP、Python、Rubinius、Ruby。如果是 Ruby 语言，1.9.x 分支不受可预测冲突情况的影响，因为此版本包含哈希函数的随机化。

此公告中指出的漏洞几乎与 2003 年报告的漏洞相同，并在针对 Perl 语言的文章“Denial of Service via Algorithmic Complexity Attacks”中进行了说明。

远程主机受到 GLSA-201207-06 中所述漏洞的影响（JRuby：拒绝服务）

    JRuby 未正确随机化哈希函数来防范哈希冲突攻击。
  影响：

    远程攻击者可发送特别构建的输入，可能导致拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

遠端主機受到 GLSA-201207-06 中所述的弱點影響 (JRuby：拒絕服務)

    JRuby 未正確隨機化雜湊函式以防止雜湊衝突攻擊。
  影響：

    遠端攻擊者可傳送特製的輸入，進而可能導致拒絕服務情況。
  因應措施：

    目前尚無已知的因應措施。

低于 1.6.5.1 的 JRuby 计算哈希值而没有限制可预测触发哈希冲突的功能，这允许上下文有关的攻击者通过对维护哈希表的应用程序构建输入来造成拒绝服务（CPU 消耗）。注意：此更新包括对较新 Debian 发行版本原始修复的修正，以避免出现 CVE-2012-5370 中标识的问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

1.6.5.1 版之前的 JRuby 會在沒有限制預先觸發雜湊衝突能力的情況下計算雜湊值，這會允許內容相依的攻擊者透過對維護雜湊表的應用程式的特製輸入，造成拒絕服務 (CPU 消耗)。注意：此更新包含之後 Debian 版本的原始修正的更正，以避免 CVE-2012-5370 中發現的問題。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
57552	FreeBSD : Multiple implementations -- DoS via hash algorithm collision (91be81e7-3fea-11e1-afc7-2c4138874f7d)	Nessus	FreeBSD Local Security Checks	2012/1/16	2021/1/6	high
59898	GLSA-201207-06 : JRuby: Denial of Service	Nessus	Gentoo Local Security Checks	2012/7/10	2021/1/6	high
83142	Debian DLA-209-1 : jruby security update	Nessus	Debian Local Security Checks	2015/4/30	2021/1/11	high
59898	GLSA-201207-06：JRuby：サービス拒否	Nessus	Gentoo Local Security Checks	2012/7/10	2021/1/6	high
57552	FreeBSD：複数の実装 -- ハッシュアルゴリズム競合による DoS （91be81e7-3fea-11e1-afc7-2c4138874f7d）	Nessus	FreeBSD Local Security Checks	2012/1/16	2021/1/6	high
83142	Debian DLA-209-1：jruby のセキュリティ更新	Nessus	Debian Local Security Checks	2015/4/30	2021/1/11	high
57552	FreeBSD：多個實作 -- 透過雜湊演算法衝突造成的 DoS (91be81e7-3fea-11e1-afc7-2c4138874f7d)	Nessus	FreeBSD Local Security Checks	2012/1/16	2021/1/6	high
57552	FreeBSD：多种实现 -- 通过哈希算法冲突导致的 DoS (91be81e7-3fea-11e1-afc7-2c4138874f7d)	Nessus	FreeBSD Local Security Checks	2012/1/16	2021/1/6	high
59898	GLSA-201207-06 : JRuby：拒绝服务	Nessus	Gentoo Local Security Checks	2012/7/10	2021/1/6	high
59898	GLSA-201207-06 : JRuby：拒絕服務	Nessus	Gentoo Local Security Checks	2012/7/10	2021/1/6	high
83142	Debian DLA-209-1：jruby 安全更新	Nessus	Debian Local Security Checks	2015/4/30	2021/1/11	high
83142	Debian DLA-209-1：jruby 安全性更新	Nessus	Debian Local Security Checks	2015/4/30	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high