CVE-2015-8386
KrytyczneStreszczenie
PCRE przed wersją 8.38 niewłaściwie obsługuje interakcję asercji lookbehind i wzorców rekurencyjnych, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie bufora) lub potencjalnie innego nieokreślonego wpływu za pomocą spreparowanego wyrażenia regularnego.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które prowadzą do odmowy usługi, co może wpłynąć na dostępność ich usług. Dodatkowo, istnieje ryzyko nieokreślonego wpływu na systemy, co może prowadzić do dalszych problemów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji PCRE 8.38 lub nowszej, aby zlikwidować tę podatność. Należy również monitorować użycie wyrażeń regularnych w aplikacjach, aby zminimalizować ryzyko ataków.
Oryginalny opis (angielski, źródło NVD)
PCRE before 8.38 mishandles the interaction of lookbehind assertions and mutually recursive subpatterns, which allows remote attackers to cause a denial of service (buffer overflow) or possibly have unspecified other impact via a crafted regular expression, as demonstrated by a JavaScript RegExp object encountered by Konqueror.