「Ruby」のXMLパーサーライブラリにDoS攻撃受けるおそれ

開発言語「Ruby」の一部ライブラリにサービス拒否が生じるおそれがある脆弱性が判明した。アップデートが呼びかけられている。

現地時間5月16日にアドバイザリをリリースし、「XMLドキュメント」の解析を行うライブラリ「REXML gem」の脆弱性「CVE-2024-35176」について明らかにしたもの。

「REXML gem 3.2.6」および以前のバージョンに影響があり、属性値に特定の文字を多く含む場合、解析に長時間を要するおそれがあるという。

GitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「5.3」、重要度を「中（Medium）」とレーティングしている。

同脆弱性は「REXML gem 3.2.7」にて修正されており、開発者はアップデートを強く推奨している。

（Security NEXT - 2024/05/28 ）ツイート