Uma variedade de linguagens de programação sofrem de uma negação de serviço da condição (DoS) contra a funções de armazenamento de pares chave / valor de hash em estruturas de dados, a condição pode ser aproveitado através da exploração de colisões previsível nos algoritmos de hash subjacente.

 

A questão encontra a exposição especial em aplicações web server e / ou frameworks. Em particular, a falta de limites suficientes para o número de parâmetros em pedidos POST em conjunto com as propriedades de colisão previsível nas funções de hashing das línguas subjacente pode tornar as aplicações web vulneráveis ​​à condição DoS. O atacante, usando solicitações HTTP especialmente criadas, pode levar a um 100% de uso da CPU que pode durar várias horas, dependendo da aplicação orientada e desempenho do servidor, o efeito de amplificação é considerável e requer pouca banda e tempo do lado atacante.

 

A condição para colisões previsíveis nas funções de hash tem sido relatada para a implementações de linguagens seguintes: Java, JRuby, PHP, Python, Rubinius, Ruby. No caso da linguagem Ruby, o ramo 1.9.x não é afetado pela condição de colisão previsível uma vez que esta versão inclui uma randomização da função hash.

 

A vulnerabilidade descrita neste boletim é praticamente idêntico ao reportado em 2003 e descrito na Denial of Service via papel Ataques Complexidade algorítmica que afetou a linguagem Perl.

 

A assessoria próprios repórteres podem ser encontradas em http://www.nruns.com/_downloads/advisory28122011.pdf

Várias linguagens de programação estão vulneráveis a ataques de negação de serviço (DoS) contra a funções de armazenamento de pares chave/valor em tabelas hash. As aplicações de web server e/ou frameworks estão em particular exposição. O atacante, utilizando pedidos HTTP especialmente criados, pode levar a um uso total do CPU que pode durar várias horas, dependendo da aplicação e desempenho do servidor, o efeito de amplificação é considerável e requer pouca largura de banda e tempo do lado atacante.