PT-2025-26258 · Unknown · Powsybl-Iidm-Criteria+1
CVSS v4.0
2.7
منخفضة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
com.powsybl:powsybl-iidm-criteria الإصدارات من 6.3.0 حتى 6.7.1
com.powsybl:powsybl-contingency-api الإصدارات من 5.0.0 حتى 5.0.0
الوصف:
تتمثل المشكلة في ثغرة أمنية محتملة لرفض الخدمة عن طريق التعبير العادي البولينومي (ReDoS) في فئة RegexCriterion. تقوم هذه الفئة بتجميع وتقييم تعبير عادي غير مصدق عليه، مقدم من المستخدم، مقابل معرف كائن Identifiable عبر Pattern.compile(regex).matcher(id).find(). في حالة استغلالها بنجاح، يمكن لمهاجم خبيث أن يتسبب في استنزاف كبير لموارد وحدة المعالجة المركزية (CPU) من خلال استدعاءات متكررة أو متكررة لـ filter(...) — خاصةً إذا تم تنفيذها في نماذج شبكات كبيرة أو عمليات تصفية.
التوصيات:
بالنسبة لإصدارات com.powsybl:powsybl-iidm-criteria من 6.3.0 حتى 6.7.1، قم بالتحديث إلى الإصدار 6.7.2 أو أعلى.
بالنسبة لإصدارات com.powsybl:powsybl-contingency-api من 5.0.0، قم بالتحديث إلى إصدار أعلى من 5.0.0؛ ومع ذلك، لم يتم تحديد الإصدار المصحح بالضبط لهذا المكون.
كحل مؤقت، ضع في اعتبارك تقييد استخدام فئة RegexCriterion حتى يتوفر تصحيح.
تجنب استخدام التعبيرات النمطية غير الموثوقة والمعرفات التي قد تكون تحت سيطرة المهاجمين في فئة RegexCriterion لتقليل مخاطر الاستغلال إلى أدنى حد.
استغلال
إصلاح
DoS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Powsybl-Contingency-Api
Powsybl-Iidm-Criteria