PT-2025-26255 · Powsybl · Powsybl
Adamkorcz
+1
·
Publicado
2025-06-19
·
Atualizado
2025-06-21
·
CVE-2025-48058
CVSS v4.0
6.3
Média
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do PowSyBl anteriores a 6.7.2
Descrição
O problema é uma vulnerabilidade potencial de Negação de Serviço por Expressão Regular polinomial (ReDoS) no mecanismo DataSource do PowSyBl. Esta vulnerabilidade pode ser explorada quando o método
listNames(String regex) é chamado em um DataSource com uma expressão regular fornecida pelo usuário, permitindo que um ator malicioso cause consumo significativo de CPU devido ao backtracking da regex. O ataque requer controle sobre a entrada da regex e influência sobre os nomes de arquivos/recursos sendo correspondidos. Em um ambiente multi-tenant, isso pode degradar o desempenho e a disponibilidade do servidor, afetando outros usuários da aplicação.Recomendações
Para versões anteriores a 6.7.2, atualize para com.powsybl:powsybl-commons:6.7.2 ou superior para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao método
listNames(String regex) ou validar expressões regulares fornecidas pelo usuário para minimizar o risco de exploração. Evite usar expressões regulares fornecidas pelo usuário sem validação no método listNames(String regex) até que o problema seja resolvido.Exploit
Correção
DoS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Powsybl