Ben Caller

**Nome do software vulnerável e versões afetadas** ansi-html (versões afetadas não especificadas) **Descrição** O problema ocorre quando um invasor insere uma sequência de caracteres maliciosa, fazendo com que o sistema fique travado ao processar a entrada por um período extremamente longo. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do RestSharp anteriores à 106.11.8-alpha.0.13 **Descrição** O problema decorre de uma expressão regular vulnerável usada ao converter strings em DateTimes, tornando-a suscetível a um ataque de Negação de Serviço por Expressão Regular (ReDoS). Se um servidor responder com uma string maliciosa, o cliente que utiliza o software afetado ficará preso processando-a por um tempo excessivamente longo, permitindo que o servidor remoto provoque uma Negação de Serviço. **Recomendações** Para versões anteriores à 106.11.8-alpha.0.13, atualize para a versão 106.11.8-alpha.0.13 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso da função de conversão DateTime para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões 0.7.14 a 0.7.23 do ua-parser-js **Descrição** O problema está relacionado a uma vulnerabilidade de consumo descontrolado de recursos na biblioteca ua-parser-js. Ela pode ser explorada por um invasor remoto para causar uma negação de serviço. A vulnerabilidade decorre de uma expressão regular que é vulnerável a ataques de negação de serviço. Se um invasor enviar um cabeçalho User-Agent malicioso, a biblioteca ficará travada processando-o por um longo período. **Recomendações** Para as versões 0.7.14 a 0.7.23, atualize para a versão 0.7.24 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao cabeçalho `User-Agent` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: markdown2, versões 1.0.1.18 a 2.3.x Descrição: A vulnerabilidade permite que um invasor provoque uma negação de serviço ao fornecer uma sequência de caracteres maliciosa, dificultando ou atrasando o processamento do markdown2 por um período prolongado. Isso ocorre devido a uma vulnerabilidade de negação de serviço relacionada a expressões regulares. Recomendações: Para as versões do markdown2 de 1.0.1.18 a 2.3.x, atualize para a versão 2.4.0 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do httplib2 anteriores à 0.19.0 **Descrição** Um servidor malicioso que responda com uma longa sequência de caracteres `xa0` no cabeçalho `www-authenticate` pode causar uma negação de serviço (sobrecarga da CPU durante a análise do cabeçalho) no cliente httplib2 que acessa o referido servidor. O problema surge devido a um backtracking catastrófico na expressão regular vulnerável, levando a uma complexidade cúbica e a atrasos significativos no processamento. **Recomendações** Para versões anteriores à 0.19.0, atualize para a versão 0.19.0, que contém uma nova implementação de análise de cabeçalhos de autenticação usando a biblioteca pyparsing. Como solução temporária, considere definir `httplib2.USE WWW AUTH STRICT PARSING` como `True` para mitigar o problema.

**Nome do software vulnerável e versões afetadas: Versões do CairoSVG anteriores à 2.5.1 Descrição: O problema está relacionado a uma vulnerabilidade de negação de serviço por expressão regular (REDoS) no CairoSVG, um pacote Python utilizado para converter arquivos SVG. Ao processar arquivos SVG, o CairoSVG utiliza duas expressões regulares que são vulneráveis a ataques de negação de serviço por expressão regular (REDoS). Se um invasor fornecer um SVG malicioso, isso pode fazer com que o CairoSVG fique travado no processamento do arquivo por um período muito longo. A vulnerabilidade é causada pela complexidade das expressões regulares, que pode levar a um retrocesso catastrófico ao processar uma longa sequência de espaços. A complexidade é cúbica, o que significa que dobrar o comprimento da sequência maliciosa de espaços faz com que o processamento demore 8 vezes mais. Recomendações: Para versões anteriores à 2.5.1, atualize para a versão 2.5.1 ou posterior para corrigir a vulnerabilidade de negação de serviço por expressão regular (REDoS). Como solução temporária, considere evitar o uso das expressões regulares vulneráveis no arquivo `colors.py` até que um patch esteja disponível. Restrinja o acesso ao pacote `cairosvg` para minimizar o risco de exploração. Evite usar arquivos SVG maliciosos que possam fazer com que o pacote fique preso no processamento do arquivo por um tempo muito longo.

**Nome do software vulnerável e versões afetadas** Versões do Pygments de 1.1 a 2.7.3 **Descrição** O problema está relacionado ao uso de expressões regulares no programa de realce de sintaxe Pygments. Algumas dessas expressões regulares apresentam complexidade exponencial ou cúbica no pior dos casos e são vulneráveis a ataques ReDoS. Ao criar entradas maliciosas, um invasor pode causar uma negação de serviço. **Recomendações** Para as versões 1.1 a 2.7.3 do Pygments, atualize para a versão 2.7.4 para resolver o problema. Como solução alternativa temporária, considere restringir a entrada nos lexers para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do uap-core anteriores à 0.7.3 **Descrição** A vulnerabilidade permite que invasores remotos sobrecarreguem um servidor definindo o cabeçalho User-Agent em uma solicitação HTTP(S) com strings longas criadas de forma maliciosa. Isso ocorre porque algumas expressões regulares são vulneráveis à negação de serviço por expressão regular (REDoS) devido à sobreposição de grupos de captura. Cada expressão regular vulnerável contém três grupos de captura sobrepostos, e o backtracking tem complexidade de tempo aproximadamente cúbica em relação ao comprimento da string do user-agent. **Recomendações** Atualize o uap-core para a versão 0.7.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o comprimento do cabeçalho User-Agent em solicitações HTTP(S) para impedir a exploração. Além disso, desativar ou restringir o uso das expressões regulares vulneráveis pode ajudar a minimizar o risco de exploração até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Python 2.7 a 2.7.17 Versões do Python 3.5 a 3.5.9 Versões do Python 3.6 a 3.6.10 Versões do Python 3.7 a 3.7.6 Versões do Python 3.8 a 3.8.1 **Descrição** O problema está relacionado a um consumo descontrolado de recursos no interpretador Python. Ele permite que um servidor HTTP realize ataques de Negação de Serviço por Expressão Regular (ReDoS) contra um cliente devido a um backtracking catastrófico do `urllib.request.AbstractBasicAuthHandler`. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. **Recomendações** Para as versões do Python 2.7 a 2.7.17, considere desativar o `urllib.request.AbstractBasicAuthHandler` para minimizar o risco de exploração até que um patch esteja disponível. Para as versões 3.5 a 3.5.9 do Python, considere desativar o `urllib.request.AbstractBasicAuthHandler` para minimizar o risco de exploração até que um patch esteja disponível. Para as versões 3.6 a 3.6.10 do Python, considere desativar o `urllib.request.AbstractBasicAuthHandler` para minimizar o risco de exploração até que um patch esteja disponível. Para as versões 3.7 a 3.7.6 do Python, considere desativar o `urllib.request.AbstractBasicAuthHandler` para minimizar o risco de exploração até que uma correção esteja disponível. Para as versões 3.8 a 3.8.1 do Python, considere desativar o `urllib.request.AbstractBasicAuthHandler` para minimizar o risco de exploração até que uma correção esteja disponível. Como solução alternativa temporária, considere