Denial of Service in uap-core when processing crafted User-Agent strings

高GHSA-pcqq-5962-hvcw · 10/03/2020 公開 · 22/05/2025 更新

要点

GHSA-pcqq-5962-hvcw は user_agent_parser に影響する深刻度「高」の脆弱性です。
対処：2.6.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
user_agent_parser RubyGems	`< 2.6.0`	`2.6.0`

概要

Impact

Some regexes are vulnerable to regular expression denial of service (REDoS) due to overlapping capture groups. This allows remote attackers to overload a server by setting the User-Agent header in an HTTP(S) request to maliciously crafted long strings.

Patches

Please update uap-ruby to >= v2.6.0

For more information

https://github.com/ua-parser/uap-core/security/advisories/GHSA-cmcx-xhr8-3w9p

Reported in uap-core by Ben Caller @bcaller

参考情報

ua-parser/uap-ruby security advisory · WEB
ua-parser/uap-ruby commit 2bb1826 · WEB
rubysec/ruby-advisory-db · WEB

user_agent_parser のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン