Outil de détection haute performance pour la vulnérabilité ReDoS

l'informatique

Crédit : Pixabay/CC0 domaine public

Les expressions régulières (regex) sont largement utilisées dans différents domaines de l’informatique. Cependant, la vulnérabilité ReDoS (Regular expression Denial of Service) forme une classe d’attaques de complexité algorithmique courantes et sérieuses.

Les outils de détection de vulnérabilité ReDoS existants présentent des défauts de faible précision ou de faible taux de rappel en raison de l’absence de conditions de détection formelles et complètes des vulnérabilités ReDoS.

Une équipe de recherche dirigée par le professeur Chen Haiming de l’Institut des logiciels de l’Académie chinoise des sciences a développé un outil de détection haute performance pour la vulnérabilité ReDoS.

Leur étude a été publiée au USENIX Security Symposium 2021.

En examinant des expressions régulières massives de vulnérabilité ReDoS, l’équipe de Chen a proposé les conditions de détection de vulnérabilité ReDoS, à savoir les modèles de vulnérabilité ReDoS, et a donné les conditions nécessaires pour déclencher formellement ces modèles.

Sur cette base, ils ont développé un algorithme de détection de vulnérabilité ReDoS combiné statique et dynamique et ont conçu ReDoSHunter, l’outil de détection de vulnérabilité ReDoS.

ReDoSHunter peut identifier plusieurs causes profondes dans une regex vulnérable, prescrire le degré de vulnérabilité et générer des chaînes de déclenchement d’attaque, etc. Il a atteint un taux de précision et de rappel de 100 % sur les ensembles de données de Corpus, RegExLib et Snort avec 37 651 regex.

En détectant les vulnérabilités pratiques confirmées publiquement dans Common Vulnerabilities and Exposure (CVE), ReDoSHunter peut détecter 100% des CVE liés à ReDoS.

Dans leur étude précédente, l’équipe de Chen a proposé un cadre de programmation par exemple, FlashRegex, pour générer des regex anti-ReDoS en synthétisant ou en réparant à partir d’exemples donnés. C’est le premier framework qui intègre la synthèse et la réparation d’expressions régulières avec la prise en compte des vulnérabilités ReDoS.

FlashRegex peut générer ou réparer efficacement des expressions régulières sans vulnérabilités ReDoS, et il n’y a aucune vulnérabilité ReDoS dans les expressions régulières réparées.

L’étude, intitulée « FlashRegex : deducing anti-ReDoS regexs from examples », a été publiée à l’ASE 2020.


Microsoft met en garde contre la vulnérabilité PrintNightmare en raison d’une faille dans le spouleur d’impression Windows


Plus d’information:
Yeting Li et al, FlashRegex, Actes de la 35e conférence internationale IEEE/ACM sur le génie logiciel automatisé (2021). DOI : 10.1145/3324884.3416556

Fourni par l’Académie chinoise des sciences

Citation: Outil de détection haute performance pour la vulnérabilité ReDoS (2021, 16 août) récupéré le 16 août 2021 à partir de https://techxplore.com/news/2021-08-high-performance-tool-redos-vulnerability.html

Ce document est soumis au droit d’auteur. En dehors de toute utilisation équitable à des fins d’étude ou de recherche privée, aucune partie ne peut être reproduite sans l’autorisation écrite. Le contenu est fourni seulement pour information.