Podatności fzf

fzf w wersjach 0.36.0–0.74.5 zawiera podatność na wyczerpanie zasobów (złożoność kwadratowa) w maskActionContents, umożliwiającą lokalnym atakującym zablokowanie serwera HTTP --listen. Wielokrotne wysyłanie ciał POST o rozmiarze ~1 MB do nieuwierzytelnionego portu localhost blokuje jednowątkowy serwer na około 30 sekund.

Podatność w narzędziu fzf w trybie --listen powoduje odmowę usługi (DoS) z powodu nieefektywnego przetwarzania treści HTTP, które wykorzystuje wielokrotną konkatenację ciągów znaków, prowadząc do kwadratowej złożoności czasowej (O(n²)). Specjalnie spreparowane żądanie POST z wieloma małymi segmentami może wywołać nadmierne zużycie CPU, blokując jednowątkowy serwer HTTP i uniemożliwiając obsługę innych klientów.

W narzędziu fzf wykryto podatność na przepełnienie liczb całkowitych w funkcji FuzzyMatchV2. Gdy długość linii wejściowej wynosi około 2 200 000 bajtów, a długość wzorca 999 bajtów, dochodzi do przepełnienia, co powoduje nieprawidłowe granice wycinka. Środowisko uruchomieniowe Go wykrywa błąd i natychmiast kończy proces z nieodwracalną paniką.