braces ≤ 3.0.3: Denial-of-Service door stack-uitputting via diep geneste brace-patronen

Wat is er gebeurd

In het npm-pakket braces is een stack-overflow-kwetsbaarheid vastgesteld. De recursieve AST-walkers (abstract syntax tree) van het pakket, die worden gebruikt om brace-expansiepatronen te verwerken, bevatten geen dieptebeveiliging. Door een diep genest brace-patroon aan te leveren dat onder de tekenlimiet blijft, kan een aanvaller ervoor zorgen dat de recursie de call-stack uitput, wat resulteert in een onopgevangen RangeError die het Node.js-proces beëindigt.

Technische oorzaak

De oorzaak is ongecontroleerde recursie (CWE-674) in de patroonverwerkingscode van braces. Omdat de recursieve walkers geen maximale nestingdiepte afdwingen, kan een patroon worden geconstrueerd met voldoende geneste niveaus om de call-stack te laten overlopen vóórdat een eventuele tekenlimiet wordt bereikt, wat leidt tot een crash in plaats van een nette foutafhandeling.

Waarom dit ertoe doet

Omdat de kwetsbaarheid kan worden getriggerd zonder authenticatie en zonder gebruikersinteractie, loopt elke applicatie die door een aanvaller gecontroleerde input doorgeeft aan de patroonverwerking van braces risico op een denial-of-service-situatie. Een succesvolle trigger laat het Node.js-proces crashen, wat de beschikbaarheid van de betrokken applicaties kan verstoren.

Wie wordt getroffen

Elk project dat afhankelijk is van het npm-pakket braces in versie 3.0.3 of ouder wordt getroffen, inclusief applicaties of bibliotheken die externe of door gebruikers aangeleverde strings doorgeven aan braces voor patroonexpansie.

Getroffen versies

Alle versies van braces vanaf de eerste release (0) tot en met 3.0.3 zijn getroffen.

Oplossingen en mitigatie

Op het moment van schrijven is er nog geen gepatchte versie gepubliceerd voor deze kwetsbaarheid. Sitebeheerders en ontwikkelaars wordt aangeraden de GitHub Advisory Database (GHSA-vfj7-8cjw-p6xm) en de pagina van het braces npm-pakket in de gaten te houden voor een update die dieptebeveiliging in de AST-walkers introduceert.

Aanbevolen actie

Vermijd totdat er een patch beschikbaar is het rechtstreeks doorgeven van niet-vertrouwde of extern gecontroleerde input aan de patroonmatchingfuncties van braces. Implementeer waar mogelijk invoervalidatie op applicatieniveau om diep geneste of verdacht gestructureerde brace-patronen te weren voordat ze de library bereiken. Houd uitkijk naar een gepatchte release en pas deze direct toe zodra deze beschikbaar is.