PT-2022-22315 · Mistune+1 · Mistune+1

Lepture · Publicado 2022-07-25 · Atualizado 2025-01-12 · CVE-2022-34749

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Mistune versões 2.0.2 e anteriores

Descrição

O problema decorre do suporte a marcação inline no Mistune, que utiliza expressões regulares. Essas expressões regulares podem levar a um grande volume de retrocesso em certos casos extremos, um comportamento comumente conhecido como retrocesso catastrófico.

Recomendações

Para as versões 2.0.2 e anteriores do Mistune, considere atualizar para uma versão que resolva o problema do backtracking catastrófico nas expressões regulares usadas para o suporte a marcação inline.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

AZL-10403

CVE-2022-34749

GHSA-FW3V-X4F2-V673

OPENSUSE-SU-2024:12350-1

OPENSUSE-SU-2024:13453-1

OPENSUSE-SU-2025:14637-1

PYSEC-2022-237

RHSA-2026:2711

RHSA-2026:2769

Produtos afetados

Debian

Mistune

Referências · 23

• https://github.com/lepture/mistune · Nota
• https://github.com/lepture/mistune/releases · Nota
• https://github.com/lepture/mistune/commit/a6d43215132fe4f3d93f8d7e90ba83b16a0838b2 · Correção
• https://github.com/lepture/mistune/issues/314#issuecomment-1223972386 · Nota
• https://github.com/lepture/mistune/commit/ca1e7b506850f4e488823fc7338b49a8f9852718 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/mistune/PYSEC-2022-237.yaml · Nota
• https://ubuntu.com/security/CVE-2022-34749 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-34749 · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/TQHXITQ2DSBYOILKHXBSBB7PFBPZHF63 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-34749 · Aviso do Fabricante
• https://lists.opensuse.org/archives/list/[e-mail]/thread/IW7A2S3IHI5EEZCNENY4D7VRBPONFU5C · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-34749 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2022-34749 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-34749 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-fw3v-x4f2-v673 · Aviso do Fabricante