CVE-2025-25200

Contesto

• Vulnerabilità: CVE-2025-25200

• Tipo: Regular Expression Denial of Service (ReDoS)

• Componente: Kao >= 2.0.0, < 2.15.4 , >= 3.0.0-alpha.0, < 3.0.0-alpha.3 , >= 1.0.0, < 1.7.1, < 0.21.2

• Descrizione: Questa vulnerabilità presenta una complessità temporale quadratica O(n2) o, in scenari più critici, esponenziale O(2n), ovvero il tempo richiesto per elaborare l'input cresce in modo esponenziale rispetto alla sua dimensione (backtracking). L'origine del problema risiede nel meccanismo del motore delle espressioni regolari chiamato backtracking. Quando l'input (token) non corrisponde, il motore retrocede semplicemente a posizioni precedenti in cui avrebbe potuto scegliere un percorso alternativo.

Impatto e Gravità

• Tipo di impatto: Denial of Service (DoS)
• Vettore di attacco: Rete
• Score: 9.2 (Alto)

Mitigazioni Possibili

• Validazione della lunghezza del payload.
• Utilizzare una regola WAF per igienizzare o rifiutare intestazioni contenenti pattern che possano attivare ReDoS.
• Implementare limiti di tempo di richiesta per evitare che richieste di lunga durata blocchino il loop degli eventi indefinitamente.

Divulgazione Responsabile