Vulnerabilidad en Shescape (CVE-2022-36064)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

06/09/2022

Última modificación:

21/07/2023

Descripción

Shescape es un paquete de escape de shell para JavaScript. Una vulnerabilidad en la Complejidad de las Expresiones Regulares Ineficiente afecta a usuarios que usan Shescape para escapar de argumentos para los shells Unix "Bash" y "Dash", o cualquier shell Unix no soportado oficialmente; y/o usando las funciones "escape" o "escapeAll" con la opción "interpolation" establecida en "true". Un atacante puede causar un retroceso polinómico o un tiempo de ejecución cuadrático en términos de la longitud de la cadena de entrada debido a dos Expresiones Regulares en Shescape que son vulnerables a una Denegación de Servicio de Expresiones Regulares (ReDoS). Este bug ha sido parcheado en versión v1.5.10. Sólo para "Dash", este bug ha sido parcheado desde la v1.5.9. Como mitigación, puede imponerse una longitud máxima en las cadenas de entrada a Shescape para reducir el impacto de la vulnerabilidad. No es recomendado intentar detectar cadenas de entrada vulnerables, ya que la lógica para ello puede acabar siendo vulnerable al propio ReDoS.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto