5

正規表現には、指数関数的に処理時間が増大するサービス不能攻撃(ReDOS)の危険性があるとのことです
http://blog.ohgaki.net/regex-dos-redos

実際に、Mongo ShellのJavaScriptで以下のコードを実行すると長時間CPU使用率が100%になります

regex = /(a+)+Z/
regex.exec("aaaaaaaaaaaaaaaaaaaaaaaaaaaaaa!")

しかし、コレクションにあるデータを正規表現で検索するときにはすぐに結果が返ってきます

db.test.insert({_id: "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaa!"})
db.test.find({_id:/(a+)+Z/})

MongoDBの正規表現を使ったクエリーにはReDOS脆弱性がないことが保証されているのでしょうか?
MongoDBのドキュメントを探しましたがクエリーの正規表現にリモートから受け取った文字列を使用していいのかどうか見つけられませんでした。

唯一見つけたのは以下のもので、
https://www.mongodb.com/alerts/

Remotely trigger a denial of service (crash) via a specially crafted regular expression

とあり、で正規表現のReDOS攻撃に対処したようですが、明確に使用しても大丈夫だというドキュメントは見つけられませんでした。

1 件の回答 1

4

MongoDBバージョン2.6.8以前及び3.0.0でCVE-2014-8964でのReDOS脆弱性があるPCREライブラリーバージョン8.30が使用されていました。MongoDBをそれ以降のバージョンにアップデートすればこのPCRE脆弱性がなくなります。

参照 (英語のみ)
SERVER-17252
及び、ご覧になったポストの右側にバージョンが記載されています。
https://www.mongodb.com/alerts/

1
  • ありがとうございます。リンク先では「Remote attackers may cause a denial of service」に対処したとのことなので大丈夫とは思います。 しかし、MongoDBのどの機能がリモートからの攻撃に安全でどの機能が危険なのかのガイドラインのようなものがあったらなと思いまして。 例えば、docs.mongodb.com/manual/core/map-reduce はかなり危険そうですが、普通のクエリーは安全です。クエリーの正規表現はどちらなのかかなり迷います。 2016年6月23日 1:15

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。