chalk/ansi-regex 中低效的正则表达式复杂度

该漏洞的根本原因是 ansi-regex 库中使用的正则表达式在处理某些无效 ANSI 转义码时，会产生极高的计算复杂度，导致 CPU 资源耗尽。攻击者可以通过发送包含大量重复字符或特殊字符的 ANSI 转义码来触发此漏洞，从而使目标应用程序无响应。这种拒绝服务攻击可能导致应用程序崩溃、服务中断，甚至影响整个系统的可用性。由于 Node.js 广泛应用于各种 Web 应用和服务器端开发，因此该漏洞的潜在影响范围非常广泛。

Applications and services built on Node.js that utilize the ansi-regex package are at risk. This includes command-line tools, terminal emulators, logging utilities, and any application that processes ANSI escape codes. Specifically, projects using older versions of ansi-regex and those that do not perform input validation on ANSI escape code strings are particularly vulnerable.

• nodejs / server:

  ps aux | grep ansi-regex | grep -v grep | awk '{print $2}' | xargs -n 1 pmap -x | grep -q 'ansi-regex.js'

• nodejs / server:

  journalctl -u node | grep -i "ansi-regex"

• generic web: Inspect Node.js application logs for unusually high CPU usage or errors related to ansi-regex parsing.

1. 2021-09-20Disclosure

   disclosure

2. 2021-09-20PoC

   poc

3. 2021-09-20Patch

   patch

1. 已保留2021-09-16
2. 发布日期2021-09-20
3. 修改日期2026-02-04
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级到 ansi-regex 6.0.1 或更高版本，该版本修复了该漏洞。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤掉包含恶意 ANSI 转义码的请求。此外，还可以通过限制应用程序处理的 ANSI 转义码的长度来降低风险。在升级后，请务必进行测试，以确保升级不会对应用程序的功能产生负面影响。可以使用 node -v 命令检查 Node.js 版本，并使用 npm list ansi-regex 命令检查 ansi-regex 的版本。