loader-utils, रेगुलर एक्सप्रेशन डिनायल ऑफ़ सर्विस (Regular Expression Denial of Service) (ReDoS) के माध्यम से url वेरिएबल के द्वारा असुरक्षित है

CVE-2022-37603 webpack द्वारा उपयोग किए जाने वाले loader-utils लाइब्रेरी को प्रभावित करता है, विशेष रूप से interpolateName.js में interpolateName फ़ंक्शन को प्रभावित करता है। यह भेद्यता एक नियमित अभिव्यक्ति से इनकार सेवा (ReDoS) हमला है। एक हमलावर url चर के माध्यम से सावधानीपूर्वक तैयार किए गए अनुरोधों को दुर्भावनापूर्ण स्ट्रिंग के साथ भेज सकता है। ये स्ट्रिंग जब नियमित अभिव्यक्ति द्वारा संसाधित की जाती हैं, तो वे सिस्टम संसाधनों का असमान अनुपात खपत कर सकती हैं, जिससे क्रैश या महत्वपूर्ण धीमापन हो सकता है। webpack का उपयोग जटिल वेब अनुप्रयोगों के निर्माण के लिए किए जाने वाले वातावरण में यह जोखिम विशेष रूप से अधिक है, क्योंकि एक सफल हमला निर्माण प्रक्रिया को बाधित कर सकता है और सेवा की उपलब्धता को प्रभावित कर सकता है। CVSS गंभीरता स्कोर 7.5 है, जो उच्च जोखिम दर्शाता है।

1. आरक्षित2022-08-08
2. प्रकाशित2022-10-14
3. संशोधित2025-05-15
4. EPSS अद्यतन2026-04-02

सबसे प्रभावी समाधान loader-utils लाइब्रेरी को पैच किए गए संस्करण में अपडेट करना है। संस्करण 1.4.2, 2.0.4 और 3.2.1 में इस भेद्यता के लिए फिक्स शामिल हैं। हम नवीनतम उपलब्ध संस्करण में अपडेट करने की दृढ़ता से अनुशंसा करते हैं। यदि तत्काल अपडेट संभव नहीं है, तो अस्थायी शमन उपायों को लागू किया जा सकता है, जैसे कि interpolateName फ़ंक्शन को पास करने से पहले url चर के इनपुट को मान्य और सैनिटाइज़ करना। हालांकि, ये उपाय पूर्ण अपडेट की तुलना में कम सुरक्षित हैं और केवल एक अस्थायी वर्कअराउंड के रूप में माने जाने चाहिए। सिस्टम प्रदर्शन और त्रुटि लॉग की निगरानी संभावित ReDoS हमलों का पता लगाने में मदद कर सकती है।

अंतिम अपडेट

3.3.123 महीने पहले