CVE-2022-24713

सारांश

regex रस्ट भाषा के लिए रेगुलर एक्सप्रेशन का एक कार्यान्वयन है। regex crate में अविश्वसनीय regexes, या विश्वसनीय regexes द्वारा मिलान किए गए अविश्वसनीय इनपुट के कारण होने वाले denial of service हमलों को रोकने के लिए अंतर्निहित mitigations शामिल हैं। वे (ट्यूनेबल) mitigations पहले से ही हमलों को रोकने के लिए उचित डिफ़ॉल्ट प्रदान करते हैं। यह गारंटी प्रलेखित है और इसे crate के API का हिस्सा माना जाता है। दुर्भाग्य से, अविश्वसनीय regexes को पार्सिंग के दौरान मनमाना समय लेने से रोकने के लिए डिज़ाइन किए गए mitigations में एक बग खोजा गया था, और ऐसे regexes बनाना संभव है जो ऐसे mitigations को बायपास करते हैं। यह उन सेवाओं पर विशेष रूप से तैयार किए गए regexes भेजकर denial of service हमले करना संभव बनाता है जो उपयोगकर्ता-नियंत्रित, अविश्वसनीय regexes स्वीकार करती हैं। regex crate के 1.5.4 से पहले या उसके बराबर के सभी संस्करण इस समस्या से प्रभावित हैं। फिक्स regex 1.5.5 से शामिल है। उपयोगकर्ता-नियंत्रित regexes स्वीकार करने वाले सभी उपयोगकर्ताओं को तुरंत regex crate के नवीनतम संस्करण में अपग्रेड करने की अनुशंसा की जाती है। दुर्भाग्य से, समस्याग्रस्त regexes का कोई निश्चित सेट नहीं है, क्योंकि व्यावहारिक रूप से अनंत regexes हैं जिन्हें इस भेद्यता का शोषण करने के लिए तैयार किया जा सकता है। इस कारण से, ज्ञात समस्याग्रस्त regexes को अस्वीकार करने की अनुशंसा नहीं की जाती है।

• CVE-2022-24713-POCPoC

  Ubuntu पर CVE-2022-24713 के लिए प्रूफ ऑफ कॉन्सेप्ट/परीक्षण