postcss 7.0.0 - 8.2.9 严重性：中等 正则表达式拒绝服务

CSS

PostCSS 7.0.0 - 8.2.9 中的正则表达式拒绝服务漏洞

PostCSS是一个用于转换CSS的工具，它可以通过插件系统来自动化处理CSS文件。然而，从7.0.0版本到8.2.9版本之间，PostCSS存在一个严重性为中等的漏洞，即正则表达式拒绝服务漏洞。

该漏洞的影响范围较大，可能导致恶意用户利用恶意构造的CSS文件来使PostCSS进程崩溃，从而导致拒绝服务攻击。具体而言，当PostCSS处理一个包含恶意构造的正则表达式的CSS文件时，它的正则表达式引擎可能会因为无限回溯而导致CPU占用过高，最终使进程崩溃。

这个漏洞的危害在于，恶意用户可以通过构造一个看似正常的CSS文件来触发这个漏洞，而不需要任何用户交互。这意味着，一个受影响的PostCSS服务在接收到这样的恶意CSS文件后，可能会因为崩溃而无法继续处理其他正常的请求，从而导致服务不可用。

漏洞案例代码

下面是一个示例代码，演示了如何利用这个漏洞来构造恶意CSS文件：

CSS
.class {
  background-image: url('')\9;
  background-image: url(''__proto__[a]=1);
}

上述CSS文件中，恶意用户利用了CSS的语法和正则表达式的特性来构造了两个background-image属性。第一个属性的值是url('')\9，这是一个CSS hack，用于绕过某些旧版本IE的Bug。第二个属性的值是url(''__proto__[a]=1)，利用__proto__[a]=1这段字符串来触发正则表达式的回溯漏洞。

在受影响的PostCSS版本中，当处理这个CSS文件时，正则表达式引擎会不断回溯尝试匹配url(''__proto__[a]=1)这个字符串，最终导致CPU占用过高，甚至进程崩溃。

修复建议

为了解决这个漏洞，PostCSS的开发者发布了8.3.0版本，并建议所有受影响的用户尽快升级到这个版本。在8.3.0版本中，开发者对正则表达式的处理进行了修复，防止了无限回溯的问题。

因此，为了确保系统的安全性，建议所有使用PostCSS的用户立即更新到最新版本，并且避免处理来自不受信任的CSS文件。

PostCSS是一个非常流行的CSS转换工具，但在7.0.0版本到8.2.9版本之间存在一个严重性为中等的正则表达式拒绝服务漏洞。这个漏洞可能导致恶意用户利用恶意构造的CSS文件来使PostCSS进程崩溃，从而导致拒绝服务攻击。为了解决这个漏洞，PostCSS开发者发布了修复版本，并建议用户尽快升级。在使用任何开源工具时，始终要保持对安全漏洞的关注，并及时采取措施来修复和防御。