حجب الخدمة في Python-Markdown من النسخة 3.0 حتى النسخة 3.11.2 عبر تحليل أقواس الروابط

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي Python-Markdown من النسخة 3.0 حتى النسخة 3.11.2 على ثغرة تعقيد خوارزمي في تحليل الروابط المضمنة والتي تسمح للمهاجمين عن بُعد باستنفاد وحدة المعالجة المركزية من خلال أقواس غير متطابقة. يمكن للمهاجمين إرسال نص Markdown قصير يحتوي على أحرف [ أو ![ متكررة، مما يجبر LinkInlineProcessor.getText() و getLink() على إجراء عمليات مسح تربيعية تبقي عمال التشغيل مشغولين لدقائق.

المعالجة

1. أحصِ جميع نشرات Python-Markdown Markdown، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/python-markdown-3.0-through-3.11.2-denial-of-service-via-link-bracket-parsing
• مرجعhttps://github.com/Python-Markdown/markdown
• مرجعhttps://github.com/Python-Markdown/markdown/blob/b41e0aaf1181f1a8cb200cf5a815aad7c0020d23/markdown/inlinepatterns.py#L1155-L1172
• مرجعhttps://github.com/Python-Markdown/markdown/issues/1654
• مرجعhttps://github.com/Python-Markdown/markdown/issues/798