Terser 不安全地使用正则表达式导致拒绝服务攻击 (ReDoS)

CVE-2022-25858 影响 terser 包，具体来说是 4.8.1 之前的版本以及 5.0.0 到 5.14.2 之间的版本。这是一种正则表达式拒绝服务 (ReDoS) 漏洞。攻击者可以发送恶意输入，导致 terser 消耗过多的系统资源（CPU、内存），从而可能导致系统不稳定或崩溃。该漏洞在于 terser 中正则表达式的不安全使用，允许恶意模式以低效的方式执行，从而导致无限循环或过度资源消耗。攻击的严重程度取决于系统负载和恶意输入的复杂性。为了减轻这种风险，更新包至关重要。

Applications and services utilizing Terser for JavaScript minification or compression are at risk. This includes web applications, build systems (e.g., webpack, Parcel), and any Node.js projects that depend on Terser directly or indirectly through other packages. Developers using older versions of Terser in production environments are particularly vulnerable.

• nodejs / server:

  npm list terser

• nodejs / server:

  npm audit

• nodejs / server: Check package.json for terser versions < 4.8.1 or between 5.0.0 and 5.14.2. • nodejs / server: Monitor CPU usage; spikes correlated with Terser processing could indicate exploitation.

1. 2022-07-16Disclosure

   disclosure

1. 已保留2022-02-24
2. 发布日期2022-07-16
3. 修改日期2025-01-14
4. EPSS 更新日期2026-04-02

减轻 CVE-2022-25858 的方法是将 terser 包更新到 4.8.1 或更高版本，或 5.14.2 或更高版本。这些版本包含修复程序，可以解决正则表达式的不安全使用并防止 ReDoS 攻击。特别是如果使用 terser 的应用程序暴露于用户控制的输入，建议尽快执行此更新。此外，请检查应用程序的源代码，以识别可能被利用此漏洞的潜在入口点，即使在更新之后也是如此。应遵循推荐的依赖管理实践来执行更新，以避免与其他库或系统组件发生冲突。