REXML 拒绝服务漏洞（CVE-2024-43398）

CVE编号

CVE-2024-43398

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-22

漏洞描述

REXML是Ruby的一个XML工具包。在REXML宝石版本低于3.3.6时，当解析具有许多具有相同本地名称属性的深层元素的XML时，存在一个拒绝服务（DoS）漏洞。如果您需要使用类似于REXML::Document.new的树解析器API来解析不受信任的XML，则可能会受到此漏洞的影响。如果您使用其他解析器API，如流解析器API和SAX2解析器API，则此漏洞不会受到影响。REXML宝石版本3.3.6或更高版本包含修复此漏洞的补丁。

解决建议

"将组件 rexml 升级至 3.3.6 及以上版本"

参考链接
https://github.com/ruby/rexml/releases/tag/v3.3.6
https://github.com/ruby/rexml/security/advisories/GHSA-vmwr-mc7x-5vc3

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com