再現の手順
Angularの1.0.0以降のバージョンでは、安全でない正規表現が使用されているため、$resourceサービス経由で正規表現サービス拒否（ReDoS）攻撃を行うことが可能です。悪意のある行為者が安全でない正規表現を注意深く作成し、それをサービスに提供すると、壊滅的なバックトラックを引き起こし、システム・リソースを独占することができます。この悪用を実証する概念実証がStackBlitzで公開されている。
問題への対処
この脆弱性の修正は、AngularJS XLTS バージョン 1.9.1 および 1.5.17 で利用可能です。
学習と予防
ReDoS攻撃は、ターゲットとなるシステムが、長い時間がかかる正規表現パターンマッチを解決しようとします（それによって、システムの正当なユーザーへのサービスを拒否します）。これはサービス拒否（DDoS）攻撃の一種です。
この攻撃では、正規表現エンジンがマッチを見つけようとする一連のステップを実行する。これらのステップの中には、すぐに実行できるものもあれば、特に失敗するステップにはかなり時間がかかるものもある。この場合、ブラウザが攻撃者によって注意深く作られた正規表現を解決しようとすると、ブラウザは代替のマッチを試すために後戻りするため、結果を返すのに非常に長い時間を費やす可能性があります。
結論
この脆弱性で説明されている修正は1.9.1に含まれており、Angular 1.5を使用しているHeroDevs AngularJSネバーエンディングサポートのクライアントもすぐに利用可能です。 HeroDevsのネバーエンディングサポートをご希望の方は、今すぐ営業チームまでご連絡ください。
リソース
NIST 2023-26117エントリー
弊社がサポートするオープンソースソフトウェアに新たな脆弱性が修正された場合、いつでもアラートを受け取ることができます。