CVE-2022-24713

Riepilogo

regex è un'implementazione delle espressioni regolari per il linguaggio Rust. La crate regex include mitigazioni integrate per prevenire attacchi di denial of service causati da regex non attendibili, o da input non attendibili confrontati con regex attendibili. Queste mitigazioni (regolabili) forniscono già impostazioni predefinite ragionevoli per prevenire gli attacchi. Questa garanzia è documentata ed è considerata parte dell'API della crate. Purtroppo è stato scoperto un bug nelle mitigazioni progettate per impedire che regex non attendibili richiedano una quantità arbitraria di tempo durante il parsing, ed è possibile creare regex che aggirano tali mitigazioni. Ciò rende possibile eseguire attacchi di denial of service inviando regex appositamente create a servizi che accettano regex controllate dall'utente e non attendibili. Tutte le versioni della crate regex precedenti o uguali alla 1.5.4 sono affette da questo problema. La correzione è inclusa a partire dalla regex 1.5.5. Si raccomanda a tutti gli utenti che accettano regex controllate dall'utente di aggiornare immediatamente all'ultima versione della crate regex. Purtroppo non esiste un insieme fisso di regex problematiche, poiché esistono praticamente infinite regex che potrebbero essere create per sfruttare questa vulnerabilità. Per questo motivo, non è consigliato negare regex problematiche note.

• CVE-2022-24713-POCPoC

  Proof of Concept/Test per CVE-2022-24713 su Ubuntu