ruby-on-rails-4 - 使用 mime 类型缓存的拒绝服务

Question

我正在使用刹车人（3.5.1）扫描我的导轨代码（4.2.1）。事情似乎很好。但它给出了如下问题：

通过 mime 类型缓存拒绝服务。请升级到 Rails 4.2.5。

现在我了解了什么是拒绝服务，并且 mime 类型在接受 http 请求的标头中。但是 mime 类型缓存如何导致拒绝服务。

有人可以解释这是如何引起的。

谢谢

Answer 1

完整的信息是：Rails 4.2.1 is vulnerable to denial of service via mime type caching (CVE-2016-0751). Upgrade to Rails version 4.2.5。

如果您搜索 CVE-2016-0751，或使用 HTML 报告并单击“拒绝服务”，或使用 JSON 输出并点击提供的链接，您会找到CVE-2016-0751 的 Rails 安全公告，其中指出：

Action Pack 中可能的对象泄漏和拒绝服务攻击

可能存在对象泄漏，这可能导致 Action Pack 中的拒绝服务漏洞。此漏洞已分配 CVE 标识符 CVE-2016-0751。

受影响的版本：全部。

不受影响：无。

固定版本：5.0.0.beta1.1、4.2.5.1、4.1.14.1、3.2.22.1

影响

精心设计的接受标头可能会导致 MIME 类型的全局缓存无限增长，这可能导致 Action Pack 中的拒绝服务攻击。

运行受影响版本的所有用户都应立即升级或使用其中一种解决方法。

当收到一个 HTTP 请求时，它可以使用一个Accept头来表示它期望接收的特定 mime 类型。这些缓存在 Rails 中。攻击者可以发送许多不同的 mime 类型（它们不必是真实的）并导致缓存变大并使用所有可用的 RAM，从而使服务器崩溃。这被归类为拒绝服务攻击。

换句话说，它是 Rails 核心部分的安全漏洞。为了解决它，升级。