Zranitelnost Javy na odepření služby při vyhledávání s regulárními výrazy

Abstract

V tomto projektu studujeme zranitelné vstupy regulárních výrazů v implementaci platformy Java, známé také jako OpenJDK. Tyto vstupy mohou způsobit útok regulárního výrazu Denial of Service na systém, který by mohl způsobit, že cílový systém nebude dostupný skutečným uživatelům. OpenJDK je považováno za chráněné proti ReDoS útoku, zejména ve verzích 9 a vyšších, kde byla přidána optimalizace algoritmů pro párování regulárních výrazů. Ale i s tímto vylepšením ukážeme, že stále existují zranitelné vstupy regulárních výrazů, které mohou způsobit exponenciální problémy za běhu a potenciálně způsobit odmítnutí služby, a to i v nejnovější verzi OpenJDK. V této práci uvidíte, které optimalizace byly přidány ve verzi 9, jak tato vylepšení ovlivňují OpenJDK dnes a co tyto optimalizace nestihly pokrýt. Pro každý ze zranitelných vstupů regulárních výrazů dostanete také vývojový diagram, který ukazuje proces párovacích algoritmů, proč dochází k exponenciálním problémům za běhu a možná řešení.

In this project, we study vulnerable regular expression inputs in the Javas platform implementation, also known as OpenJDK. These inputs can cause a Regular expression Denial of Service attack on the system which could make a targeted system unavailable to actual users. OpenJDK is considered protected against ReDoS attack, especially in versions 9 and higher where optimization of the regular-expression matching algorithms was added. But even with this improvement, we will show that there are still vulnerable regex inputs, which can cause exponential run-time problems and potentially cause a denial of service, even in the latest version of OpenJDK. In this thesis, you will see which optimizations were added in version 9, how these improvements affect OpenJDK today, and what these optimizations did not manage to cover. For each of the vulnerable regex inputs you will also be given a flow chart that shows the process of the matching algorithms, why the exponential run-time problems occur, and possible solutions.