CVE-2022-24713

regex, Rust dili için düzenli ifadelerin bir uygulamasıdır. regex crate'i, güvenilmeyen regex'lerin veya güvenilir regex'lerle eşleştirilen güvenilmeyen girdilerin neden olduğu hizmet reddi saldırılarını önlemek için yerleşik hafifletmeler içerir. Bu (ayarlanabilir) hafifletmeler, saldırıları önlemek için halihazırda makul varsayılanlar sunmaktadır. Bu garanti belgelenmiştir ve crate'in API'sinin bir parçası olarak kabul edilir. Maalesef, güvenilmeyen regex'lerin ayrıştırma sırasında rastgele miktarda zaman harcamasını önlemek için tasarlanan hafifletmelerde bir hata keşfedilmiştir ve bu hafifletmeleri atlayan regex'ler oluşturmak mümkündür. Bu durum, kullanıcı kontrollü ve güvenilmeyen regex'leri kabul eden servislere özel olarak hazırlanmış regex'ler göndererek hizmet reddi saldırıları gerçekleştirilmesini mümkün kılar. regex crate'inin 1.5.4 sürümüne kadar olan tüm versiyonları bu sorundan etkilenmektedir. Düzeltme, regex 1.5.5 sürümüyle birlikte eklenmiştir. Kullanıcı kontrollü regex'leri kabul eden tüm kullanıcıların derhal regex crate'inin en son sürümüne yükseltme yapmaları önerilir. Bu güvenlik açığını istismar etmek için pratik olarak sonsuz sayıda regex oluşturulabileceği için maalesef sorunlu regex'lerden oluşan sabit bir küme yoktur. Bu nedenle, bilinen sorunlu regex'leri engellemek önerilmemektedir.