PT-2021-3391 · Unknown · Color-String

Colin Ife

+1

·

Publicado

2021-06-21

·

Atualizado

2021-07-01

·

CVE-2021-29060

CVSS v2.0

7.8

Alta

VetorAV:N/AC:L/Au:N/C:N/I:N/A:C
Nome do software vulnerável e versões afetadas
color-string versões 1.5.5 e anteriores
Descrição
O problema está relacionado a uma vulnerabilidade de negação de serviço por expressão regular (ReDOS) na biblioteca color-string, que pode causar consumo excessivo de recursos ao processar cadeias HWB inválidas criadas propositalmente. Isso pode levar a uma negação de serviço. A vulnerabilidade ocorre devido à complexidade temporal exponencial para comprimentos de entrada que aumentam linearmente para strings de cor hwb(), especificamente na expressão regular que analisa o valor de matiz. O tempo de processamento estimado aumenta significativamente com o comprimento da string de entrada, sendo que strings com mais de 50.000 caracteres levam cerca de 1,5 segundos para serem processadas.
Recomendações
Para a versão 1.5.5 e anteriores da string de cor, considere desativar a função hwb() até que um patch esteja disponível para evitar possíveis ataques de negação de serviço. Restrinja os comprimentos de entrada para strings de cor hwb() para minimizar o risco de exploração. Evite usar a função hwb() com entradas não confiáveis até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Allocation of Resources Without Limits

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2021-03242
CVE-2021-29060
GHSA-257V-VJ4P-3W2H

Produtos afetados

Color-String