漏洞信息详情

JRuby ‘MurmurHash2’算法哈希冲突拒绝服务漏洞

• CNNVD编号：CNNVD-201211-507
• 危害等级： 中危
  
• CVE编号： CVE-2012-5370
• 漏洞类型： 加密问题
• 发布时间： 2012-11-28
• 威胁类型： 远程
• 更新时间： 2012-12-05
• 厂        商： jruby
• 漏洞来源： Jean-Philippe Auma...

漏洞简介

JRuby是面向Ruby、基于Java虚拟机(JVM)的一种解释程序。

JRuby中存在拒绝服务漏洞，该漏洞源于使用哈希函数基于‘MurmurHash2’算法，可预测哈希值冲突。攻击者利用该漏洞发送特制的字符串传送到受影响应用程序，使用这些字符串创建Hash对象（类似HTTP请求）。成功的利用可触发高CPU消耗，导致拒绝访问状态。

漏洞公告

目前厂商还没有提供此漏洞的相关补丁或者升级程序，建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.jruby.org/

参考网址

来源: www.131002.net

链接:https://www.131002.net/data/talks/appsec12_slides.pdf

来源: bugzilla.redhat.com

链接:https://bugzilla.redhat.com/show_bug.cgi?id=880671

来源: www.ocert.org

链接:http://www.ocert.org/advisories/ocert-2012-001.HTML

来源: asfws12.files.wordpress.com

链接:http://asfws12.files.wordpress.com/2012/11/asfws2012-jean_philippe_aumasson-martin_bosslet-hash_flooding_dos_reloaded.pdf

来源: 2012.appsec-forum.ch

链接:http://2012.appsec-forum.ch/conferences/#c17

来源: BID

名称: 56669

链接:http://www.securityfocus.com/bid/56669

受影响实体

• Jruby Jruby:-  

补丁

暂无