CVE-2023-31606

Уязвимость

Проблема отказа в обслуживании через регулярные выражения (ReDoS) была обнаружена в функции sanitize_html гема redcloth >= v4.0.0. Эта уязвимость позволяет атакующим вызвать отказ в обслуживании (DoS) путём передачи специально созданной нагрузки.

Что такое ReDoS?

Согласно OWASP – Отказ в обслуживании через регулярные выражения (ReDoS) — это атака типа «отказ в обслуживании», которая использует тот факт, что большинство реализаций регулярных выражений могут достигать экстремальных ситуаций, заставляющих их работать очень медленно (экспоненциально по отношению к размеру входных данных). Злоумышленник может заставить программу, использующую регулярное выражение, попасть в такие экстремальные ситуации и зависнуть на очень долгое время. Для получения дополнительной информации обратитесь к OWASP ReDoS.

Затронутый продукт

• Redcloth gem >= 4.0.0

Исправленная версия

• Пока не исправлена

Идентификатор CVE

• CVE-2023-31606

Тип уязвимости

• Отказ в обслуживании через регулярные выражения (ReDoS)

Корневая причина

• Функция sanitize_html гема redcloth использует следующее регулярное выражение для очистки HTML-тегов.

 /<(/)([A-Za-z]\w*)([^>]?)(\s?/?)>/

• Это регулярное выражение сопоставляется с пользовательским вводом, переданным в функцию sanitize_html.

Воздействие

• Злоумышленник может вызвать отказ в обслуживании (DoS) путём передачи специально созданной нагрузки.

CVSS

• 7.5 Высокий

Последний коммит в репозиторий был сделан 28 марта 2019 года, а последняя версия v4.3.2 вышла 24 мая 2016 года. Проект больше не поддерживается.

Ссылки

• https://github.com/jgarber/redcloth/issues/73