🇰🇷 한글 설명
DotVVM 프레임워크의 특정 버전에서 경로 세그먼트에 제약되지 않은 다중 매개변수가 포함될 경우, 정규 표현식의 과도한 백트래킹이 발생할 수 있습니다. 공격자가 길고 유사한 경로를 요청하면 CPU 자원을 과도하게 소모하게 되어 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
웹사이트 주소 형식을 검사하는 과정에서 복잡한 규칙 때문에 컴퓨터가 계산을 무한히 반복하게 만드는 공격입니다. 이로 인해 서버의 처리 능력이 바닥나서 웹사이트가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
DotVVM is an open source MVVM framework for web applications. Prior to 4.2.11, 4.3.15, and 5.0.0-preview09-final, a route containing multiple unconstrained parameters in one path segment can cause excessive regular-expression backtracking in DotvvmRoute.IsMatch when a remote requester supplies a long near-match path. DotvvmRouteParser.RouteRegex previously had no matching timeout. Patched runtimes retry with the .NET non-backtracking engine, while runtimes that do not support non-backtracking matching return HTTP 503 after the one-second timeout in DotvvmRoutingMiddleware. This issue is fixed in versions 4.2.11, 4.3.15, and 5.0.0-preview09-final.
📍 영향받는 시스템
DotVVM versions prior to 4.2.11, 4.3.15, and 5.0.0-preview09-final
⚔️ 공격 벡터
정규 표현식 백트래킹을 유발하는 특수하게 조작된 긴 URL 경로 요청
🛡️ 대응 방법
DotVVM을 4.2.11, 4.3.15 또는 5.0.0-preview09-final 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 DotVVM의 버전이 취약점이 해결된 버전(4.2.11, 4.3.15, 5.0.0-preview09-final 이상)인지 확인하십시오.
dotnet list package | grep DotVVM