PT-2025-26255 · Powsybl · Powsybl
CVSS v4.0
6.3
متوسطة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PowSyBl الأقدم من 6.7.2
الوصف
المشكلة هي ثغرة أمنية محتملة من نوع «رفض الخدمة عبر التعبيرات العادية متعددة الحدود» (ReDoS) في آلية DataSource الخاصة بـ PowSyBl. يمكن استغلال هذه الثغرة الأمنية عند استدعاء الأسلوب
listNames(String regex) في DataSource باستخدام تعبير عادي يقدمه المستخدم، مما يسمح لمهاجم خبيث بالتسبب في استهلاك كبير لموارد وحدة المعالجة المركزية (CPU) بسبب عملية التراجع (backtracking) للتعبير العادي. يتطلب الهجوم التحكم في مدخلات التعبير العادي والتأثير على أسماء الملفات/الموارد التي يتم مطابقتها. في بيئة متعددة المستأجرين، قد يؤدي ذلك إلى تدهور أداء الخادم وتوافره، مما يؤثر على مستخدمي التطبيق الآخرين.التوصيات
بالنسبة للإصدارات الأقدم من 6.7.2، قم بالتحديث إلى com.powsybl:powsybl-commons:6.7.2 أو إصدار أحدث لإصلاح الثغرة الأمنية. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى الأسلوب
listNames(String regex) أو التحقق من صحة التعبيرات العادية التي يقدمها المستخدم لتقليل مخاطر الاستغلال. تجنب استخدام التعبيرات العادية التي يقدمها المستخدم دون التحقق من صحتها في الأسلوب listNames(String regex) حتى يتم حل المشكلة.استغلال
إصلاح
DoS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Powsybl