- Yama var
- Son 7 gün
- CWE-1333
CVE-2026-62864
Ring Clojure kütüphanesinde nested-params ara katmanında verimsiz düzenli ifade karmaşıklığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, Clojure ile yazılmış bazı web uygulamalarının kötü niyetli bir istekle yavaşlayıp hizmet dışı kalmasına yol açabilir. Etkilenen uygulamalar kesintiye uğrayabilir ve iş sürekliliği riski doğabilir. Kütüphaneyi kullanan ekiplerin güncellemeyi öncelikli olarak planlaması önerilir.
ÖzetTürkçe
Ring, Clojure ile web uygulamaları geliştirmek için kullanılan bir kütüphanedir. 1.15.5 öncesi sürümlerde wrap-nested-params ara katmanı, URL sorgu dizelerinden ve HTTP istek gövdelerinden parametre adlarını eşleştirmek için geri izlemeli (backtracking) bir düzenli ifade kullanır. Saldırgan, karesel O(n^2) eşleştirme iş yükü doğuran özel hazırlanmış bir parametre adı gönderebilir. Bu ara katman kullanan uygulamalar etkilenir; Ring-Defaults kullanıcıları da nested-params varsayılan olarak etkin olduğu için risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, düzenli ifade işlemini aşırı yükleyerek uygulamanın yanıt veremez hale gelmesine (hizmet reddi) neden olabilir. Ara katmanı kullanmayan uygulamalar bu ayrıştırma yolunu kullanmadığı için etkilenmez.
Kaynaktaki açıklama (İngilizce)
Ring is a Clojure web applications library inspired by Python's WSGI and Ruby's Rack. Prior to 1.15.5, wrap-nested-params in the ring.middleware.nested-params namespace uses a backtracking regular expression to match parameter names from URL query strings and HTTP request bodies. An attacker can craft a parameter name that drives quadratic O(n^2) matching work, causing regular-expression denial of service in applications using the middleware. Ring-Defaults users are also exposed because nested-params is enabled by default. Applications omitting the middleware do not expose this parsing path. This issue is fixed in version 1.15.5.
Ne yapmalı?
- Ring kütüphanesini 1.15.5 veya sonraki bir sürüme yükseltin. Üretici
- Güncelleme yapılamıyorsa, uygulamanın wrap-nested-params ara katmanını kullanmadığını doğrulayın; kullanmıyorsa ara katmanı devre dışı bırakmak riski ortadan kaldırır. Genel öneri
- Ring-Defaults kullanan uygulamalarda nested-params'ın varsayılan olarak etkin olduğunu göz önünde bulundurarak yapılandırmayı gözden geçirin. Genel öneri
Ek önlemler
- Uygulamanın bağımlılık listesinde Ring sürümünü düzenli olarak kontrol edin ve güvenlik güncellemelerini takip edin. Genel öneri
- Gelen isteklerde aşırı uzun veya olağandışı parametre adlarını izleyerek anormal yük artışlarını erken tespit edin. Genel öneri
- Uygulama önünde istek boyutu ve sorgu dizesi uzunluğu sınırları uygulayarak kötüye kullanımı azaltın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ring-clojure ring | < 1.15.5 | 1.15.5 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.