CVE-2022-24713: DoS in regex Rust tramite pattern crafted

Il CVE-2022-24713 è una falla nel crate regex della comunità Rust che interessa la gestione della sicurezza contro denial of service (DoS). La libreria regex implementa mitigazioni built-in per proteggere i servizi dagli attacchi DoS causati da regex non attendibili o input non verificati. Queste protezioni sono parte della garanzia di sicurezza del crate, ma una falla nei meccanismi di parsing permette di craftare pattern appositamente studiati per bypassare completamente tali difese, causando blocchi del servizio.

La vulnerabilità ha una severity CVSS di 7,5, classificata come High. Colpisce tutte le versioni del crate regex fino alla 1.5.4 inclusa. Il fix è disponibile a partire dalla versione 1.5.5, rilasciata nel marzo 2022 subito dopo la divulgazione pubblica su NVD. I segnali attuali mostrano che la comunità di ricerca continua a monitorare e analizzare il comportamento della falla, come evidenziato da repository GitHub recenti che mantengono modelli offline del compilation accounting della versione vulnerabile.

Per i difensori, l'azione immediata è upgradare il crate regex alla versione 1.5.5 o successiva. È consigliato verificare tutte le dipendenze del progetto che includono il crate, sia dirette che transitive. Secondo la documentazione ufficiale, non è consigliato tentare di bloccare regex 'noti come problematici' perché l'insieme dei pattern sfruttabili è praticamente infinito: la sola difesa affidabile è l'aggiornamento.