CVE-2023-28755mediumCWE-1333

CVE-2023-28755

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ruby+ Monitorar ruby3.1

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 2.6%
Em resumo

O analisador de URLs do Ruby fica extremamente lento ao processar certos URLs malformados, podendo causar negação de serviço. Um atacante pode enviar URLs especialmente construídas para congelar ou esgotar os recursos de uma aplicação web.

Detalhe técnico

Uma vulnerabilidade de Negação de Serviço por Expressão Regular (ReDoS) existe no componente URI do Ruby (versões até 0.12.0), onde URLs inválidas com padrões específicos de caracteres disparam backtracking catastrófico no analisador. O vetor de ataque é baseado em rede; o atacante fornece URLs malformados para disparar tempo de processamento exponencial. O impacto inclui esgotamento de CPU e indisponibilidade da aplicação.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A ReDoS issue was discovered in the URI component through 0.12.0 in Ruby through 3.2.1. The URI parser mishandles invalid URLs that have specific characters. It causes an increase in execution time for parsing strings to URI objects. The fixed versions are 0.12.1, 0.11.1, 0.10.2 and 0.10.0.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
n/a · n/a