Ekspresi reguler berikut digunakan untuk mengurai tanggal yang ditentukan sebagai string yang rentan terhadap ReDoS:
/[0-9]*['a-z\u00A0-\u05FF\u0700-\uD7FF\uF900-\uFDCF\uFDF0-\uFFEF]+|[\u0600-\u06FF\/]+(\s*?[\u0600-\u06FF]+){1,2}/i
Perlambatan cukup rendah: untuk 50.000 karakter sekitar 2 detik waktu pencocokan. Namun, saya tetap menyarankan salah satu dari yang berikut:
- hapus regex,
- jangkar regex,
- batasi jumlah karakter yang bisa dicocokkan dengan pengulangan,
- batasi ukuran masukan.
Jika perlu, saya dapat memberikan contoh aktual yang menunjukkan perlambatan.
cristianstaicu
Semua 24 komentar
Untuk klarifikasi, ini ada di matchWord regex, di /src/lib/parse/regex.js sini .
Berikut adalah diagram rel dari ekspresi reguler . Dari sini kita dapat melihat bahwa pengelompokan dengan pengulangan berkaitan dengan penguraian karakter Arab. Akan sangat membantu jika seseorang yang memahami ekspresi reguler dan bahasa Arab dapat mengambil celah ini.
Gambaran tentang ReDoS juga membantu.
mj1856
pada 19 Okt 2017
Saya anggap ini belum ada yang mulai
hamiltondanielb
pada 20 Okt 2017
@sukabumi_sukabumi :)
icambron
pada 20 Okt 2017
@ditjendikti
Jika perlu, saya dapat memberikan contoh aktual yang menunjukkan perlambatan.
Saya ingin melihat contoh jika memungkinkan :)
drag0s
pada 24 Okt 2017
@ Drag0s mengirimkannya ke email pribadi Anda.
cristianstaicu
pada 24 Okt 2017
FYI, ini telah ditambahkan ke NSP (lihat di sini ), jadi ini mungkin akan segera merusak bangunan orang.
@hamiltondanielb - Apakah Anda melihat ke mana-mana?
mattgrande
pada 27 Nov 2017
Baru saja membangun istirahat kami 👯
jonsharratt
pada 27 Nov 2017
Sangat menyedihkan bahwa masalah ini harus dipublikasikan sebelum diselesaikan. Terbitan dibuka pada 8 Sep, penasehat NSP diterbitkan hari ini. @cristianstaicu mungkin Anda harus mengingatkan pengelola tentang batas waktu pengungkapan untuk memberikan momentum.
dskrvk
pada 27 Nov 2017
@mattgrande ada meta-ness untuk ini: ternyata versi nsp tempat kami disematkan (2.8.1) tergantung pada momen (melalui joi) jadi itu melaporkan kerentanan pada ketergantungannya sendiri:
Mengupgrade ke nsp 3.1.0, menyelesaikan masalah ini karena dependensi sudah tidak ada lagi - jadi waspadalah jika Anda tidak bergantung langsung pada momen.
rupesh1
pada 27 Nov 2017
Apakah sudah ada perbaikan untuk ini?
bit7
pada 27 Nov 2017
Mohon saran perbaikan yang tersedia?
JoanYin
pada 27 Nov 2017
Belum ada perbaikan yang diterbitkan.
Silakan, jika Anda tertarik untuk mendapatkan pembaruan dari pengelola, berlangganan pemberitahuan untuk pembaruan masalah ini dengan mengklik "Berlangganan" di kolom sebelah kanan.
fluxsauce
pada 27 Nov 2017
Untuk menambahkan pengecualian nsp untuk ini, tambahkan file .nsprc :
{
"exceptions": [
"https://nodesecurity.io/advisories/532"
]
}
westy92
pada 27 Nov 2017
Terima kasih @ westy92 ! Menyelamatkan bangunan saya.
jacob-go
pada 27 Nov 2017
Hai @ westy92 dan @ jacob-go. Saya memiliki kode berikut.
var taskMethods = membutuhkan ('gulpfile-ninecms');
gulp.task ('nsp', taskMethods.nsp);
Ini tidak mengambil pengecualian file .nsprc. Itu terus memberi saya kesalahan kerentanan untuk saat ini.
Saya menambahkan file di root proyek. Apakah ada yang saya lewatkan untuk dilakukan?
Dexterslab
pada 27 Nov 2017
@Dexterslab kami menggunakan gulp-nsp , yang berfungsi dengan baik ketika .nsprc ada di direktori proyek (level yang sama dengan package.json ). Mungkin mencoba menggunakan gulp-nsp secara langsung?
westy92
pada 27 Nov 2017
@cristianstaicu @mattgrande apakah ini juga terjadi di Luxon?
nicosommi
pada 28 Nov 2017
Kami akan menghargai itu perbaikan untuk ini dapat dipercepat, sekarang setelah login nsp itu gagal membangun kami.
davidnormo
pada 28 Nov 2017
Dapatkah saya menyarankan pengelola untuk mengunci percakapan ini?
Untuk semua orang yang menunggu perbaikan, cukup tekan tombol berlangganan, dan Anda akan diberi tahu.
Jika ada yang ingin melakukan perbaikan, silakan buka PR.
flovilmart
pada 29 Nov 2017
Sudah ada PR untuk ini https://github.com/moment/moment/pull/4326
UziTech
pada 29 Nov 2017
Apakah seseorang perlu memberi tahu nsp bahwa ini telah ditambal? https://nodesecurity.io/advisories/532
westy92
pada 29 Nov 2017
Ini telah diperbaiki pada versi 2.19.3. Harap perbarui sebagaimana mestinya.
Saya tidak yakin bagaimana cara memberi tahu NSP - @cristianstaicu dapatkah Anda atau orang lain membantu di sini?
marwahaha
pada 29 Nov 2017
Saya mengirim email ke [email protected] :
Halo,
Kerentanan moment.js yang saat ini luar biasa (https://nodesecurity.io/advisories/532) baru - dirilis di v.2.19.3.
Bagaimana proses untuk melaporkan pembaruan status pada penasehat? Alamat email ini adalah cara terbaik yang bisa saya temukan.
Terima kasih!
mdholloway
pada 29 Nov 2017
Baru saja mendapat balasan bahwa NSP DB harus diperbarui dengan 2.19.3 sebagai versi tetap.
Diverifikasi bahwa 2.19.3 tidak lagi memberi peringatan.
mdholloway
pada 29 Nov 2017
Masalah terkait
chitgoks
·
3Komentar
M-Zuber
·
3Komentar
Shoroh
·
3Komentar
RobinvanderVliet
·
3Komentar
danieljsinclair
·
3Komentar
Komentar yang paling membantu
Kami akan menghargai itu perbaikan untuk ini dapat dipercepat, sekarang setelah login nsp itu gagal membangun kami.