CVE-2015-8394
KrytyczneStreszczenie
PCRE przed wersją 8.38 niewłaściwie obsługuje warunki (?(<cyfry>) oraz (?(R<cyfry>), co pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie całkowite) lub potencjalnie inne nieokreślone skutki poprzez spreparowany wyrażenie regularne.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które prowadzą do odmowy usługi, co może wpłynąć na dostępność ich systemów. Dodatkowo, istnieje ryzyko nieokreślonych skutków, które mogą wpłynąć na integralność i poufność danych.
Rekomendacja
Zaleca się aktualizację do wersji PCRE 8.38 lub nowszej, aby zlikwidować tę podatność. Należy również monitorować i analizować użycie wyrażeń regularnych w aplikacjach, aby zminimalizować ryzyko ataków.
Oryginalny opis (angielski, źródło NVD)
PCRE before 8.38 mishandles the (?(<digits>) and (?(R<digits>) conditions, which allows remote attackers to cause a denial of service (integer overflow) or possibly have unspecified other impact via a crafted regular expression, as demonstrated by a JavaScript RegExp object encountered by Konqueror.