Mistuneで不正な角括弧による処理遅延のサービス妨害
概要
Mistuneの3.3.0より前のバージョンには、parse_link_text処理で非効率なアルゴリズムが使われている脆弱性があります。遠隔の攻撃者が対閉じ括弧のない角括弧を大量に含むMarkdownを送ると、処理が数分間停止し、サービス妨害が起きるおそれがあります。修正版の3.3.0以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Mistuneの3.3.0より前のバージョンには、parse_link_text処理で非効率なアルゴリズムが使われている脆弱性があります。遠隔の攻撃者が対閉じ括弧のない角括弧を大量に含むMarkdownを送ると、処理が数分間停止し、サービス妨害が起きるおそれがあります。修正版の3.3.0以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| lepture | mistune |
3.3.0 未満 |
3.3.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Mistune before 3.3.0 contains an inefficient algorithmic complexity vulnerability in parse_link_text that allows remote attackers to cause denial of service through unbalanced square brackets. Attackers can submit markdown containing long runs of unmatched brackets to mistune.html(), triggering repeated forward scans that stall worker processes for minutes.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com