CVE-2024-44337

概要

パッケージ `github.com/gomarkdown/markdown` は、Markdown テキストを解析して HTML としてレンダリングするための Go ライブラリです。疑似バージョン `v0.0.0-20240729232818-a2a9c4f`（コミット `a2a9c4f76ef5a5c32108e36f7c47f8d310322252` に対応）より前のバージョンでは、`parser/block.go` ファイルの段落関数に論理的な問題があり、リモートの攻撃者が特別に細工した入力を提供することで無限ループを引き起こし、プログラムをハングさせてリソースを無期限に消費させるサービス拒否（DoS）状態を引き起こすことができました。コミット `a2a9c4f76ef5a5c32108e36f7c47f8d310322252` には、この問題の修正が含まれています。

• CVE-2024-44337PoC

  CVE-2024-44337 POC パッケージ `github.com/gomarkdown/markdown` は、Markdown テキストを解析し HTML としてレンダリングする Go ライブラリです。これにより、リモート攻撃者は、無限ループを引き起こす特別に細工された入力を提供することで、プログラムを停止させ、リソースを無制限に消費させ、サービス拒否 (DoS) 状態を引き起こすことができました。