Terser < 4.8.1 and 5.0.0-5.14.1 - Regular Expression Denial of Service

Resumen ejecutivo

Se ha identificado una vulnerabilidad de denegación de servicio (DoS) en la biblioteca Terser, que afecta a versiones anteriores a la 4.8.1 y entre las 5.0.0 y 5.14.1. Esta vulnerabilidad, catalogada con una severidad media, puede comprometer la disponibilidad del servicio en ciertas condiciones.

Contexto técnico

El fallo se origina en la forma en que Terser maneja las expresiones regulares, lo que puede llevar a un consumo excesivo de recursos del servidor, provocando una denegación de servicio. La superficie de ataque se centra en las aplicaciones que utilizan esta biblioteca para procesar o manipular código JavaScript.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la interrupción del servicio, afectando la disponibilidad de la web y, por ende, la experiencia del usuario. Esto podría traducirse en pérdidas económicas y daños a la reputación de la empresa, especialmente si se trata de un sitio de alto tráfico.

Vector de explotación

Los atacantes pueden enviar solicitudes maliciosas que desencadenan la ejecución de expresiones regulares problemáticas, lo que lleva a un consumo descontrolado de recursos del servidor. Este tipo de ataque no requiere acceso previo al sistema, lo que aumenta su riesgo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar Terser a la versión 1.3.0 o superior. Además, es aconsejable revisar y limitar el uso de expresiones regulares complejas en el código para reducir el riesgo de DoS.

Señales de detección

Señales de posible explotación incluyen un aumento inusual en el uso de CPU o memoria del servidor, así como tiempos de respuesta lentos o caídas del servicio. Monitorear los registros de acceso puede ayudar a identificar patrones de tráfico sospechosos.

Alcance afectado

Las versiones vulnerables de Terser son aquellas anteriores a la 4.8.1 y entre las 5.0.0 y 5.14.1. Cualquier instalación que utilice estas versiones está en riesgo.