CVE-2023-27704

CVE-2023-27704 Void Tools Everything version inférieure à 1.4.1.1022 s'est avéré contenir un déni de service par expression régulière (ReDoS)

Correction dans Everything 1.5 alpha

[Description suggérée] Void Tools Everything version inférieure à 1.4.1.1022 s'est avéré contenir un déni de service par expression régulière (ReDoS).

---

[Informations supplémentaires] J'ai mis le processus de reproduction détaillé dans ce lien : https://drive.google.com/drive/folders/1BmHAGSugrFo0whDEmg6nnbaOkvE21X-p?usp=sharing

---

[Type de vulnérabilité autre] Déni de service par expression régulière

---

[Vendeur du produit] https://www.voidtools.com/

---

[Code de base du produit affecté] Everything - version inférieure à 1.4.1.1022 (x64)

---

[Composant affecté] Version installée d'Everything inférieure à 1.4.1.1022 (x64)

---

[Type d'attaque] Local

---

[Impact : Déni de service] vrai

---

[Vecteurs d'attaque] J'ai découvert une vulnérabilité ReDoS dans Everything version 1.4.1.1015 (x64)

Le déclencheur de la vulnérabilité ReDoS est approximativement celui-ci : "^([\w]+)+$"

Processus de récurrence :

1. Activer la fonction regex d'Everything
2. Insérer des instructions regex pouvant conduire à un ReDoS dans la zone de recherche

Ensuite, on peut voir dans le gestionnaire de tâches que l'utilisation du CPU est très élevée, pouvant atteindre plus de 90 %, et Everything ne répond plus.

J'ai mis le processus de reproduction détaillé dans ce lien : https://drive.google.com/drive/folders/1BmHAGSugrFo0whDEmg6nnbaOkvE21X-p?usp=sharing