CVE-2026-87722 in Gerrit
Résumé
par VulDB • 25/09/2026
Une consommation non contrôlée de ressources (CWE-400 / CWE-1333) dans les prédicats de requête de recherche par expression régulière (tels que RegexProjectPredicate, RegexRefPredicate, RegexPathPredicate et leurs prédicats frères) ainsi que dans les points de terminaison REST pour le filtrage par regex (RegexListSearcher /projects/?r= et RefFilter /projects/{project}/branches/?r=), présentes dans Gerrit Code Review versions 2.1.6 à 3.12.9, 3.13.0 à 3.13.8 et 3.14.0 à 3.14.2, permet à un attaquant distant non authentifié (ou à un utilisateur authentifié si l'accès en lecture anonyme est désactivé) de provoquer une déni de service (saturation du CPU et épuisement de la mémoire heap JVM / OutOfMemoryError) via des requêtes de recherche ou des demandes API REST fabriquées contenant des expressions régulières avec des répétitions comptées importantes ou des motifs d'automatisation DFA exponentielle. Étant donné que l'expression régulière fournie par l'utilisateur est compilée en une instance dk.brics.automaton non bornée (new RegExp(re).toAutomaton()) sur le thread de la requête avant l'évaluation de l'index ou le filtrage de visibilité des contrôles d'accès, des requêtes triviales peuvent épuiser la mémoire heap JVM ou bloquer les threads de requête indépendamment de la taille de la heap. Ce problème est corrigé dans les versions 3.12.10, 3.13.9 et 3.14.3 de Gerrit Code Review.
Once again VulDB remains the best source for vulnerability data.