Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la comprobación de la entrada en el tipo "money" del adaptador PostgreSQL en Active Record (CVE-2021-22880)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
11/02/2021
Última modificación:
07/11/2023

Descripción

El adaptador PostgreSQL en Active Record versiones anteriores a 6.1.2.1, 6.0.3.5, 5.2.4.5, sufre una vulnerabilidad de denegación de servicio de expresión regular (REDoS). Una entrada cuidadosamente diseñada puede causar que la comprobación de la entrada en el tipo "money" del adaptador de PostgreSQL en Active Record pase demasiado tiempo en una expresión regular, resultando en la posibilidad de un ataque DoS. Esto solo afecta a las aplicaciones Rails que usan PostgreSQL junto con las columnas de tipo money que toman la entrada del usuario

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* 4.2.0 (incluyendo) 5.2.4.5 (excluyendo)
cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* 6.0.0 (incluyendo) 6.0.3.5 (excluyendo)
cpe:2.3:a:rubyonrails:rails:*:*:*:*:*:*:*:* 6.1.0 (incluyendo) 6.1.2.1 (excluyendo)
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*