公開日：2012/01/04 最終更新日：2012/09/26
JVNVU#903934
ハッシュ関数を使用しているウェブアプリケーションにサービス運用妨害 (DoS) の脆弱性
ハッシュ関数を使用している複数のウェブアプリケーションには、サービス運用妨害 (DoS) の脆弱性が存在します。
対象となる製品は複数存在します。詳しくは開発者が提供する情報をご確認ください。
複数のウェブアプリケーションフレームワークで使用されているハッシュ関数の実装には、ハッシュテーブルへのデータ追加処理に問題があり、サービス運用妨害 (DoS) の脆弱性が存在します。
同一のハッシュ値となるリクエストを大量に受信することで、サービス運用妨害 (DoS) 攻撃を受ける可能性があります。
アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。
ワークアラウンドを実施する
アップデートを適用するまでの間、以下のワークアラウンドを実施することで、本脆弱性の影響を回避することが可能です。
- リクエストごとの処理時間を制限する
- POST リクエストのサイズを制限する
- リクエストごとのパラメータ数を制限する
| ベンダ | ステータス | ステータス 最終更新日 |
ベンダの告知ページ |
|---|---|---|---|
| 日本電気株式会社 | 該当製品あり | 2012/09/26 |
| ベンダ | リンク |
| マイクロソフト | マイクロソフト セキュリティ情報 MS11-100 - 緊急 |
| マイクロソフト セキュリティ アドバイザリ (2659883) | |
| Apache Tomcat | Tomcat 7.0.23 (markt) |
| Ruby | [ANN] CVE-2011-4815: Denial of service attack was found for Ruby's Hash algorithm |
| The PHP Group | PHP 5.4.0 RC4 released |
-
US-CERT Vulnerability Note VU#903934
Hash table implementations vulnerable to algorithmic complexity attacks -
oCERT Advisories
#2011-003 multiple implementations denial-of-service via hash algorithm collision -
n.runs AG
n.runs-SA-2011.004
本脆弱性は 2003年に発表されたものですが、最近使用されているプログラミング言語でも再現することが発表されました。
| JPCERT 緊急報告 |
JPCERT-AT-2012-0001 Microsoft .NET Framework の複数の脆弱性に関する注意喚起 |
| JPCERT REPORT |
|
| CERT Advisory |
|
| CPNI Advisory |
|
| TRnotes |
|
| CVE |
|
| JVN iPedia |
|
- 2012/01/04
- 関連情報に JPCERT/CC 注意喚起を追加しました。
- 2012/02/10
- 日本電気株式会社のベンダステータスが更新されました
- 2012/03/28
- 日本電気株式会社のベンダステータスが更新されました
- 2012/04/16
- 日本電気株式会社のベンダステータスが更新されました
- 2012/05/30
- 日本電気株式会社のベンダステータスが更新されました
- 2012/09/26
- 日本電気株式会社のベンダステータスが更新されました
