CVE-2025-6176 Scrapy Brotli Decompression Bomb DoS Vulnerability

重要情報 脆弱性概要 脆弱性名称: scrapy/scrapy における Brotli 解圧爆弾による DoS CVE ID: CVE-2025-6176 報告日: 2025年6月15日 ステータス: Valid（有効） 脆弱性タイプ: CWE-400: Denial of Service（サービス妨害） 深刻度: High (7.5) 影響バージョン: <=2.13.2 発見者: Cycloctane 概要 Scrapy のエンコーディング実装は、Brotli 解圧爆弾に対して脆弱です。その対策では Brotli の変種に対処できず、悪意のあるサーバーがクライアントに対して DoS（サービス妨害）攻撃を実行できる可能性があります。 詳細 Scrapy は、64KB 単位の生のデータをを読み取り、解圧後に出力サイズをチェックすることで、Brotli 解圧爆弾から身を守ろうとしていました。しかし、Brotli はゼロ填充データに対して極めて高い圧縮率を示すため、単一の 64KB ブロックから 80GB を超えるデータを解圧することが可能で、ほとんどのシステムで OOM（Out of Memory: メモリ不足）を引き起こします。 概念実証 1. 解圧爆弾の生成 2. サーバーでの提供 3. Scrapy によるサイトへのアクセス 影響 リモートサーバーは、利用可能なメモリが 80GB 未満の Scrapy クライアントをクラッシュさせることができます。 該当箇所 _compression.py L32-L38 _compression.py L45 _compression.py L88-L104 その他の情報 GitHub Issue で、メンテナーに対して SECURITY.md の作成が要望されています。 公開スケジュールの延長に関する議論があります。

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2025-6176 Scrapy Brotli Decompression Bomb DoS Vulnerability

目標達成すべての支援者に感謝 — 100%達成しました！