JVNDB-2026-011341

Addressable projectのAddressableにおける非効率的な正規表現の複雑さに関する脆弱性

Addressableは、Rubyの標準ライブラリに含まれるURI実装の代替実装です。バージョン2.3.0から2.9.0未満のAddressable内のURIテンプレート実装において、2つのクラスのURIテンプレートが破滅的バックトラッキングに対して脆弱な正規表現を生成します。*（explode）修飾子を任意の展開演算子（例：{foo*}、{+var*}、{#var*}、{/var*}、{.var*}、{;var*}、{?var*}、{&var*}）と共に使用するテンプレートは、ネストされた無制限の量指定子を含むパターンを生成し、悪意あるURIに対してマッチングするとO(2^n)の複雑度になります。+または#演算子を使用した複数の変数（例：{+v1,v2,v3}）のテンプレートは、カンマ区切りがマッチした文字クラスに含まれるため、曖昧なバックトラッキングがk個の変数間で発生しO(n^k)の複雑度となります。これにより、悪意あるURIに対して破滅的なバックトラッキングと制御不能なリソース消費が引き起こされ、サービス拒否（DoS）を招く可能性があります。本脆弱性はバージョン2.9.0で修正されました。

Addressable project

• Addressable 2.3.0 以上 2.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Regular Expression Denial of Service in Addressable templates  Advisory  sporkmonger/addressable  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-35611

1. National Vulnerability Database (NVD) : CVE-2026-35611

• [2026年04月17日]
    掲載