在模块化 Ruby webserver 接口 Rack 中发现多个漏洞。通用漏洞和暴露计划确定以下漏洞：

- CVE-2011-5036 Rack 在未限制预测性触发哈希冲突的能力的情况下计算表单参数的哈希值，这样允许远程攻击者通过发送构建的参数来造成拒绝服务（CPU 消耗）。

- CVE-2013-0183 远程攻击者可通过多部分 HTTP 数据包中的长字符串来造成拒绝服务（内存消耗和内存不足错误）。

- CVE-2013-0184 Rack::Auth::AbstractRequest 中的漏洞允许远程攻击者通过未知矢量来造成拒绝服务。

- CVE-2013-0263 Rack::Session::Cookie 允许远程攻击者通过涉及不以恒定时间运行的 HMAC 比较函数的时序攻击来猜测会话 cookie、获得权限和执行任意代码。

检测

Debian DSA-2783-1：librack-ruby - 多个漏洞

medium Nessus 插件 ID 70534

未找到变更日志