JLine is a Java library for handling console input. From 3.0.0 until 3.30.15 and 4.3.1, the JLine built-in less viewer passes user-controlled search and display-filter patterns from getPattern(boolean doDisplayPattern) in builtins/src/main/java/org/jline/builtins/Less.java directly to Java's backtracking regular expression engine and repeatedly applies them to file content. A nested-quantifier expression evaluated against non-matching lines can consume excessive CPU and indefinitely block the session thread, and repeated sessions in Telnet or SSH deployments can exhaust a bounded worker pool.
This issue is fixed in versions 3.30.15 and 4.3.1.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 7
https://github.com/jline/jline3/commit/1d5fc3099e77938b971e197211cad2d4fbb17541
security-advisories@github.com
https://github.com/jline/jline3/commit/341ee69ccc57b7733c1b40d6993219b64b3206ae
security-advisories@github.com
https://github.com/jline/jline3/pull/2012
security-advisories@github.com
https://github.com/jline/jline3/pull/2018
security-advisories@github.com
https://github.com/jline/jline3/releases/tag/4.3.1
security-advisories@github.com
https://github.com/jline/jline3/releases/tag/jline-3.30.15
security-advisories@github.com
https://github.com/jline/jline3/security/advisories/GHSA-2v9w-34q6-wpqx
security-advisories@github.com