Terser < 4.8.1 and 5.0.0-5.14.1 - Regular Expression Denial of Service

Resumen ejecutivo

Se ha identificado una vulnerabilidad de Denegación de Servicio por Expresión Regular (ReDoS) en versiones del plugin Terser anteriores a la 4.8.1 y entre las 5.0.0 y 5.14.1. La vulnerabilidad tiene una puntuación de severidad media según el CVSS.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin Terser maneja ciertas expresiones regulares, lo que puede permitir a un atacante provocar un consumo excesivo de recursos del servidor. Esto puede llevar a una denegación de servicio, afectando la disponibilidad del sitio web.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría causar que el sitio web se vuelva lento o incluso inoperativo, lo que podría resultar en una pérdida de ingresos y dañar la reputación del negocio.

Vector de explotación

Los atacantes suelen enviar entradas maliciosas que desencadenan el fallo en el manejo de expresiones regulares, lo que puede llevar a un alto consumo de CPU y a la eventual caída del servicio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Terser a la versión 1.1.0 o superior. Además, se sugiere implementar medidas de seguridad adicionales como limitar el tamaño de las solicitudes y monitorizar el rendimiento del servidor.

Señales de detección

Señales de posible explotación incluyen un aumento inusual en el uso de CPU o memoria, así como tiempos de respuesta significativamente más largos en el servidor.

Alcance afectado

Las versiones afectadas son Terser anteriores a la 4.8.1 y entre 5.0.0 y 5.14.1. Se recomienda verificar la versión instalada en todos los sitios que utilicen este plugin.