Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

正規表現の処理に起因するサービス拒否脆弱性の自動修正技術

NTTと早稲田大学は、正規表現のパターンマッチングで処理時間を伸ばし、コンピュータリソースを浪費させてサービス拒否を引き起こす「正規表現DoS脆弱性」の自動修正技術を開発した。

正規表現については、プログラムの多くで利用される一方、しくみを理解し、検証すべき文字列を厳密に定義できていないとリソースを消費してサービス拒否に陥るおそれがあることから、対策技術を開発した。

「ReDoS(Regular Expression Denial of Service)脆弱性」「ReDoS脆弱性がないことを保証する条件」「ReDoS脆弱性の修正問題」を論理モデルとして定義し、ReDoS脆弱性がないことを保証した正規表現を出力するアルゴリズムを考案した。

NTTが脆弱性や修正問題の定義、修正アルゴリズムを考案。早稲田大学理工学術院教授の寺内多智弘氏が理論的な正確さについて検証した。

今回の研究成果は、国際会議「IEEE S&P 2022」に採択され、発表を予定している。

(Security NEXT - 2022/03/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

VMwareのログ管理ツールに複数の深刻なRCE脆弱性
米政府、「ManageEngine」の脆弱性に対する攻撃に注意喚起
「GitHub Enterprise Server 3.7.4」が公開 - Gitの脆弱性に対処
Apple、「iOS 12.5.7」を公開 - 悪用済み脆弱性を解消
2022年4Qインシデント件数は減少 - ウェブ改ざんなど減少
Apple、アップデート「iOS 16.3」などを公開 - 複数脆弱性を修正
「Drupal」のコアやモジュールに脆弱性 - 情報漏洩のおそれ
2022年4Qの脆弱性届出 - ソフトとサイトいずれも減少
コラボレーションツール「Cisco Unified CM」に脆弱性
「Git」にアップデート、複数の深刻な脆弱性に対処