Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-400
  • CWE-770

CVE-2026-77299

Regexp2 kütüphanesinde sınırsız bellek tüketimi (büyük {m} niceleyici ile)

dlclark regexp2

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, düzenli ifadeleri işleyen yazılımların kısa bir girdiyle çökmesine ve hizmetin durmasına neden olabilir. Yazılımı kullanan internete açık sistemler için kesinti riski yüksektir ve güncelleme kısa sürede yapılmalıdır.

ÖzetTürkçe

Go dili için geliştirilmiş Regexp2 düzenli ifade motorunda, sıfır genişlikli bir alt ifadeye uygulanan büyük sabit sayılı niceleyiciler bellek tüketimine yol açabilir. Motor, boş döngü gövdesini tekrar tekrar çalıştırırken her iterasyonda geri izleme yığınına kayıt eklediği için yığın sınırsız büyür. Sürüm 2.3.0 öncesindeki tüm Regexp2 kullanan uygulamalar etkilenir.

Saldırgan ne yapabilir?

Saldırgan, yaklaşık 20 bayttan kısa bir desenle çok gigabaytlık bellek tahsisi yaptırabilir ve sürecin bellek yetersizliği nedeniyle sonlandırılmasına (OOM) neden olabilir. Bu durum hizmet kesintisine yol açar; veri gizliliği veya bütünlüğü etkilenmez.

Kaynaktaki açıklama (İngilizce)

Regexp2 is a feature-rich RegExp engine for Go. Prior to version 2.3.0, when regexp2 compiles and matches a pattern containing a large fixed-count quantifier applied to a zero-width subexpression — e.g. (?:){50000000} — the match engine executes the empty loop body m-1 times, pushing two integers onto the backtracking stack on every iteration. Because the parser accepts any repetition count up to math.MaxInt32 and the backtracking stack grows without bound, a pattern of fewer than 20 bytes matched against an empty input can force multi-gigabyte allocation and OOM-kill the process. MatchTimeout does not fully mitigate this because the memory is allocated faster than the 100 ms timeout clock can fire. This issue has been patched in version 2.3.0.

Ne yapmalı?

  1. Regexp2 kütüphanesini 2.3.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeden sonra uygulamayı yeniden derleyip yeniden başlatın ve bağımlılığın gerçekten yeni sürüme geçtiğini doğrulayın. Genel öneri
  3. Güncelleme yapılamıyorsa, kullanıcı tarafından sağlanan düzenli ifadeleri kullanmayı durdurun veya bu ifadeleri sıkı bir şekilde denetleyin. Genel öneri

Ek önlemler

  • Kullanıcıdan alınan düzenli ifadeleri doğrulayın ve niceleyici sayılarına üst sınır koyun. Genel öneri
  • Uygulamanın bellek kullanımını izleyin ve ani artışlarda uyarı üretin. Genel öneri
  • Zaman aşımı mekanizmasına tek başına güvenmeyin; bellek sınırları ve süreç izolasyonu da uygulayın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
dlclark regexp2 < 2.3.0 2.3.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.