Mistune 3.3.0未満で大量の角括弧により処理が遅延し、サービス停止のおそれ
概要
Mistune 3.3.0より前のバージョンには、インラインのリンク解析で処理量が急増する脆弱性があります。認証なしの攻撃者が閉じられていない「[」を長く含む小さなMarkdownを送ると、CPUを使い果たし、レンダリング処理が長時間止まるおそれがあります。修正版の3.3.0以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Mistune 3.3.0より前のバージョンには、インラインのリンク解析で処理量が急増する脆弱性があります。認証なしの攻撃者が閉じられていない「[」を長く含む小さなMarkdownを送ると、CPUを使い果たし、レンダリング処理が長時間止まるおそれがあります。修正版の3.3.0以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| lepture | mistune |
3.3.0 未満 |
3.3.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Mistune before 3.3.0 contains an algorithmic complexity vulnerability in the inline link parser that allows unauthenticated attackers to exhaust CPU by submitting long runs of unmatched '[' characters. Attackers can send small markdown payloads that trigger O(N^2) parse_link_text and parse_link_label probing, occupying rendering workers for 30+ seconds per 16 KB input.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com