CVE-2026-77422 in JLine
Tóm tắt
Bởi VulDB • 23/09/2026
JLine là một thư viện Java để xử lý đầu vào bảng điều khiển (console). Từ phiên bản 3.0.0 đến 3.30.15 và 4.3.1, lệnh grep tích hợp trong JLine tại `builtins/src/main/java/org/jline/builtins/PosixCommands.java` chấp nhận một biểu thức chính quy do người dùng kiểm soát trong hàm `grep(...)` và, trừ khi chế độ line-regexp được sử dụng, sẽ tự động thêm tiền tố dot-star (`.*`) và hậu tố dot-star (`.*`) trước khi biên dịch nó với công cụ biểu thức chính quy có cơ chế backtracking của Java. Việc bao bọc này làm mở rộng không gian tìm kiếm backtracking, do đó một biểu thức quantifier lồng nhau ngắn được đánh giá trên đầu vào không khớp (non-matching input) có thể tiêu thụ CPU quá mức và chặn vô hạn một worker xử lý lệnh, kể cả trong các phiên shell bị phơi nhiễm từ xa. Vấn đề này đã được sửa chữa trong các phiên bản 3.30.15 và 4.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.