basic-ftp: ReDoS-kwetsbaarheid in Unix-directorylijst-parser maakt CPU-uitputting op afstand mogelijk

Wat is er gebeurd

Er is een ReDoS-kwetsbaarheid (regular expression denial of service) vastgesteld in basic-ftp, een FTP-clientbibliotheek voor Node.js. Het probleem zit in de parser voor Unix-directorylijsten, waar een specifieke reguliere expressie (RE_LINE) in src/parseListUnix.ts gedwongen kan worden tot catastrofaal backtracken. Wanneer een lange regel in Unix-stijl een geldig voorvoegsel heeft maar niet voldoet aan de latere grootte- en datumvelden, besteedt de regex-engine kwadratisch veel tijd aan het proberen te matchen van aangrenzende, variabele-lengte eigenaar- en groepsvelden.

Technische oorzaak

De onderliggende oorzaak zit in de manier waarop de functie parseList() van basic-ftp een parser selecteert. De functie kijkt naar de laatste niet-lege regel van een directorylijst om te bepalen welke formaatparser moet worden toegepast, en past vervolgens diezelfde parser toe op elke regel in de lijst. Dit betekent dat een normale, correct opgemaakte laatste regel ervoor kan zorgen dat de Unix-parser wordt gekozen, terwijl een eerdere regel in diezelfde lijst — opgesteld door een kwaadwillende server — catastrofaal backtracken veroorzaakt in de RE_LINE-expressie. Omdat Client.list() elke regel verwerkt met deze geselecteerde parser, volstaat één kwaadaardig item ergens in de lijst om de Node.js event loop te blokkeren.

Waarom dit ertoe doet

Omdat de kwetsbaarheid op afstand kan worden getriggerd door de FTP-server, zonder authenticatie en zonder gebruikersinteractie buiten het uitvoeren van een lijstopdracht, vormt dit een denial-of-service-risico voor elke Node.js-applicatie die verbinding maakt met FTP-servers waarover men geen volledige controle of vertrouwen heeft. Eén geprepareerde reactie kan de event loop laten vastlopen, waardoor verwerking in de betreffende applicatie effectief stilvalt totdat de CPU-intensieve bewerking is voltooid of het proces opnieuw wordt gestart.

Wie wordt getroffen

Elke applicatie die het npm-pakket basic-ftp gebruikt om verbinding te maken met FTP-servers, loopt risico als die server kwaadaardig is of is gecompromitteerd. Dit is met name relevant voor applicaties die verbinding maken met FTP-servers van derden of minder vertrouwde servers, aangezien de aanval wordt geïnitieerd door de reactie van de server op een lijstopdracht.

Getroffen versies

Alle versies van basic-ftp vanaf 0 tot en met 6.2.0 zijn getroffen. De kwetsbaarheid is verholpen in versie 6.2.1.

Fixes en mitigatie

De leverancier heeft basic-ftp versie 6.2.1 uitgebracht, waarin het RE_LINE-backtrackingprobleem in de Unix-directorylijst-parser is verholpen. In het beschikbare feitenpakket worden geen andere mitigerende maatregelen beschreven.

Aanbevolen actie

Werk het npm-pakket basic-ftp zo spoedig mogelijk bij naar versie 6.2.1 of hoger. Applicaties die verbinding maken met FTP-servers waarover geen directe controle bestaat, moeten deze update prioriteren gezien het feit dat de kwetsbaarheid op afstand en zonder authenticatie kan worden getriggerd.