ruby-lang.orgより、REXMLの脆弱性に関する報告がありました。

REXMLのDoS脆弱性

RailsでXMLリクエストのパースに使用されているREXMLに、DoS脆弱性が発見されました。XML entity explosion attackと呼ばれる攻撃手法により、ユーザから与えられたXMLを解析するようなアプリケーションをサービス不能(DoS)状態にすることができます。大部分のRailsアプリケーションはこの攻撃に対して脆弱です。

問題に対処するためのGemがリリースされているようなので、
以下のように対処しました。

1. Gemをインストール
   pre>>

gem install rexml-expansion-fix

<<--
2. ライブラリを読み込む
ruby>>
require 'rexml-expansion-fix'
<<--

また、RailsのPlugin Gemとして機能するものも作ってみました。

genki-rexml-expansion-fix

Gemをインストールした後、以下のようにconfig/environment.rb似記述します。

ruby>>
config.gem 'genki-rexml-expansion-fix',
:lib => 'rexml-expansion-fix',
:source => 'http://gems.github.com'
<<--

See Also

• DoS Vulnerabilities in REXML