CVE-2022-26650CWE-1333

CVE-2022-26650: falha em Apache ShenYu (incubating)

Apache ShenYu (incubating) Regular expression denial of service

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache ShenYu+ Monitorar org.apache.shenyu:shenyu

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

3Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 2.7%
Em resumo

O validador de expressões regulares do Apache ShenYu aceita padrões fornecidos pelo usuário sem proteção, permitindo que atacantes enviem expressões regulares maliciosas que consomem recursos excessivos da CPU.

Detalhe técnico

O arquivo RegexPredicateJudge.java passa parâmetros controlados pelo usuário diretamente para Pattern.matches() sem validação ou limites de tempo, habilitando ataques ReDoS (Denial of Service por Expressão Regular). Padrões com backtracking exponencial causam esgotamento de recursos e indisponibilidade.

Resumo gerado e traduzido por IA a partir da descrição oficial.
In Apache ShenYui, ShenYu-Bootstrap, RegexPredicateJudge.java uses Pattern.matches(conditionData.getParamValue(), realData) to make judgments, where both parameters are controllable by the user. This can cause an attacker pass in malicious regular expressions and characters causing a resource exhaustion. This issue affects Apache ShenYu (incubating) 2.4.0, 2.4.1 and 2.4.2 and is fixed in 2.4.3.
Produtos afetados
Apache Software Foundation · Apache ShenYu (incubating)
CVEs relacionadas — Apache ShenYu (incubating)

No mesmo produto, das mais perigosas para as menos.

CVE-2022-23944—Apache ShenYu 2.4.1 Improper access controlEPSS 79.0%CVE-2021-45029—Apache ShenYu 2.4.1 Groovy Code Injection & SpEL InjectionEPSS 6.0%CVE-2022-23223—Apache ShenYu Password leakageEPSS 4.3%CVE-2022-23945—Apache ShenYu missing authentication allows gateway registrationEPSS 3.8%