uglify-js 中正则表达式拒绝服务漏洞

此漏洞允许攻击者通过发送特制的输入数据，耗尽 uglify-js 进程的资源，导致服务拒绝响应。攻击者可以利用此漏洞对依赖 uglify-js 的 Node.js 应用进行 DoS 攻击，使其无法正常运行。攻击的成功可能导致应用程序崩溃、数据丢失，甚至影响整个系统的可用性。由于 uglify-js 广泛应用于前端代码压缩和混淆，因此该漏洞的潜在影响范围非常广泛，可能影响依赖于 uglify-js 的各种 Web 应用和工具。

Node.js developers and DevOps teams using uglify-js in their projects are at risk. Specifically, projects using older versions of uglify-js (prior to 2.6.0) and those that do not have robust input validation mechanisms are particularly vulnerable. Applications that rely on uglify-js for minifying JavaScript code in production environments are also at increased risk.

• nodejs / server:

  ps aux | grep uglify-js | grep -v grep | awk '{print $2}' | xargs -n 1 pmap -x | grep -q 'regex' # Check for excessive regex usage

• nodejs / server:

  journalctl -u nodejs | grep -i 'uglify-js' | grep -i 'error' # Look for errors related to uglify-js

• generic web: Inspect Node.js application logs for unusual CPU spikes or memory usage correlated with uglify-js processing.

1. 2015-00-00Discovery

   discovery

2. 2017-10-24Disclosure

   disclosure

3. 2017-10-24Patch

   patch

1. 发布日期2017-10-24
2. 修改日期2023-11-08
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 uglify-js 升级到 2.6.0 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意输入，阻止包含可能触发漏洞的正则表达式的请求。此外，可以对输入数据进行严格的验证和清理，确保其符合预期的格式和长度。如果使用 Node.js，可以考虑使用更安全的正则表达式引擎或限制正则表达式的复杂度，以降低 DoS 攻击的风险。升级后，请使用 npm list uglify-js 命令验证 uglify-js 版本是否已成功更新。