CVE-2022-26650CWE-1333

CVE-2022-26650: fallo en Apache ShenYu (incubating)

Apache ShenYu (incubating) Regular expression denial of service

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache ShenYu+ Monitorear org.apache.shenyu:shenyu

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

3Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 2.7%
En resumen

El validador de expresiones regulares de Apache ShenYu aceita patrones controlados por usuarios sin protección, permitiendo que atacantes envíen expresiones regulares maliciosas que consumen recursos excesivos de CPU.

Detalle técnico

RegexPredicateJudge.java pasa parámetros controlados por usuarios directamente a Pattern.matches() sin validación ni límites de tiempo, habilitando ataques ReDoS (Denegación de Servicio por Expresión Regular). Patrones con backtracking exponencial causan agotamiento de recursos e indisponibilidad de la aplicación.

Resumen generado y traducido por IA a partir de la descripción oficial.
In Apache ShenYui, ShenYu-Bootstrap, RegexPredicateJudge.java uses Pattern.matches(conditionData.getParamValue(), realData) to make judgments, where both parameters are controllable by the user. This can cause an attacker pass in malicious regular expressions and characters causing a resource exhaustion. This issue affects Apache ShenYu (incubating) 2.4.0, 2.4.1 and 2.4.2 and is fixed in 2.4.3.
Productos afectados
Apache Software Foundation · Apache ShenYu (incubating)
CVEs relacionadas — Apache ShenYu (incubating)

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-23944—Apache ShenYu 2.4.1 Improper access controlEPSS 79.0%CVE-2021-45029—Apache ShenYu 2.4.1 Groovy Code Injection & SpEL InjectionEPSS 6.0%CVE-2022-23223—Apache ShenYu Password leakageEPSS 4.3%CVE-2022-23945—Apache ShenYu missing authentication allows gateway registrationEPSS 3.8%