Skip to content

Translate "CVE-2025-24294: Possible Denial of Service in resolv gem" (ja) #3937

New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Open
teeta32 wants to merge 1 commit into
base: master
Choose a base branch
from
+39 −0
Open

Translate "CVE-2025-24294: Possible Denial of Service in resolv gem" (ja) #3937

Changes from all commits
Commits
Show all changes
1 commit
Select commit
File filter

Filter by extension

Filter by extension
Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
39 changes: 39 additions & 0 deletions ja/news/_posts/2025-07-08-dos-resolv-cve-2025-24294.md
View file
Open in desktop
Original file line number Diff line number Diff line change
@@ -0,0 +1,39 @@
---
layout: news_post
title: "CVE-2025-24294: resolv gem の DoS 可能な脆弱性"
author: "mame"
translator: "teeta32"
date: 2025-07-08 07:00:00 +0000
tags: security
lang: ja
---

Ruby にバンドルされている `resolv` gem に DoS 脆弱性が見つかりました。本脆弱性に [CVE-2025-24294] が割り当てられています。
resolv gem のアップグレードを推奨します。

## 詳細

本脆弱性は、DNS パケットにおける展開後のドメイン名の長さのチェックが不十分なことに起因します。

攻撃者は高度に圧縮したドメイン名を含む悪意のある DNS パケットを作成できます。resolv ライブラリがそのようなパケットを解析する際に、ライブラリが展開後の名前の長さに制限を設けていないため、名前の展開処理が大きな CPU リソースを消費します。

このリソース消費がアプリケーションのスレッドを応答不能にし、結果として DoS 状態になる恐れがあります。

## 影響を受けるバージョン

本脆弱性は、以下の Ruby にバンドルされている resolv gem に影響します:

* Ruby 3.2 系: resolv バージョン 0.2.2 以前
* Ruby 3.3 系: resolv バージョン 0.3.0
* Ruby 3.4 系: resolv バージョン 0.6.1 以前

## クレジット

この脆弱性情報は[Manu]氏によって報告されました。

## 更新履歴

* 2025-07-08 07:00:00 (UTC) 初版

[CVE-2025-24294]: https://www.cve.org/CVERecord?id=CVE-2025-24294
[Manu]: https://hackerone.com/manun