CVE-2017-8786
KrytyczneStreszczenie
W pliku pcre2test.c w PCRE2 w wersji 10.23 występuje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie bufora w stercie) lub potencjalnie inny nieokreślony wpływ poprzez specjalnie przygotowany wyrażenie regularne.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które prowadzą do odmowy usługi, co może wpłynąć na dostępność ich systemów.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji PCRE2, aby usunąć tę podatność.
Inne podatności w PCRE2 10.23
Zobacz wszystkie- CVE-2017-8399Krytyczne
PCRE2 w wersjach przed 10.30 zawiera błąd zapisu poza granicami, spowodowany przepełnieniem bufora na stosie w pliku pcre2_match.c, związany z 'wzorem z bardzo dużą liczbą przechwyceń'.
- CVE-2026-89162Niskie
W bibliotece PCRE2 przed wersją 10.48 funkcja pcre2_serialize_encode może ujawnić dwa bajty danych osobie atakującej. Sytuacja występuje zazwyczaj, gdy dostęp atakującego jest już i tak niebezpieczny.
- CVE-2026-89161Wysokie
W PCRE2 przed wersją 10.48 funkcja pcre2_jit_match nieprawidłowo obsługuje wcześniej skopiowany podmiot przekazany jako kontekst. Może wystąpić nieprawidłowa operacja zwolnienia pamięci.
- CVE-2026-89160Niskie
W bibliotece PCRE2 przed wersją 10.48 funkcja pcre2_match wykonuje odczyt poza zakresem bufora podczas dopasowywania nieprawidłowego łańcucha UTF w trybie PCRE2_MATCH_INVALID_UTF.
- CVE-2026-89158Średnie
PCRE2 przed wersją 10.48 na platformach 32-bitowych ma przepełnienie liczbowe w pcre2_compile_32 prowadzące do zapisu poza granicami bufora.
- CVE-2026-89157Średnie
PCRE2 przed wersją 10.48 na platformach 32-bitowych ma zapis poza granicami bufora w pcre2_pattern_convert, gdy atakujący dostarczy duży wzorzec.
- CVE-2026-89156Niskie
W bibliotece PCRE2 przed wersją 10.48 funkcja pcre2_match wykonuje odczyt poza zakresem bufora po przejściu awaryjnym z JIT, gdy atakujący dostarczy nieprawidłowe dane UTF.
- CVE-2026-86145Wysokie
PCRE2 przed wersją 10.48 zawiera podatność na zapis poza zakresem w funkcji pcre2_dfa_match z powodu ponownego użycia bufora obszaru roboczego bez sprawdzenia rozmiaru podczas rekurencyjnego dopasowywania DFA. Wymaga to kontrolowanego przez atakującego wyrażenia regularnego lub rekurencyjnego wzorca w połączeniu z małym limitem sterty.
Oryginalny opis (angielski, źródło NVD)
pcre2test.c in PCRE2 10.23 allows remote attackers to cause a denial of service (heap-based buffer overflow) or possibly have unspecified other impact via a crafted regular expression.